サーバー側のテンプレートインジェクション

high Web App Scanning プラグイン ID 112614

Language:

概要

説明

Web アプリケーションは多くの場合、テンプレートエンジンに依存して、ユーザーに表示される HTML ページの動的生成を管理しています。

アプリケーションがサーバー側のテンプレートに安全でないユーザー制御の入力を埋め込み、評価する場合に、クライアント側のテンプレートインジェクション (SSTI) の脆弱性があります。

攻撃者は、アプリケーションが使用するテンプレートエンジンに依存する特定のペイロードを注入してこの脆弱性を利用し、機密情報にアクセスしたり、リモートでコードを実行したりする可能性があります。

ソリューション

悪意のあるインジェクションを防ぐために、開発者はサーバーテンプレートでのユーザー入力の使用を回避する必要があります。アプリケーションが依然としてこのタイプの入力を必要とする場合は、可能な場合はロジックのないテンプレートエンジンを使用して、テンプレートのコードのロジック部分を削除し、アタックサーフェスを減らす必要があります。最後に、別のソリューションは、言語機能または docker 分離コンテナを利用してサンドボックス環境を作成することです。