服务器端模板注入
high Web App Scanning 插件 ID 112614
语言：
简介
服务器端模板注入描述
Web 应用程序通常依赖于模板引擎来管理呈现给用户的 HTML 页面的动态生成。应用程序在其模板中嵌入不安全的用户控制输入时，会出现客户端模板注入 (CSTI) 漏洞，并在随后进行评估。
通过注入取决于应用程序使用的模板引擎的特定负载，攻击者可以利用此漏洞来获得对敏感信息的访问权限，或实现远程代码执行。
解决方案
开发人员应避免在服务器模板中使用用户输入，以防止恶意注入。如果应用程序仍然需要此类输入，则应尽可能首选缺乏逻辑的模板引擎，以通过从模板中删除代码的逻辑部分来缩小受攻击面。最后，另一种解决方案则是通过利用语言功能或 docker 隔离容器创建沙盒环境。另见
https://research.securitum.com/server-side-template-injection-on-the-example-of-pebble/
https://www.okiok.com/server-side-template-injection-from-detection-to-remote-shell/
插件详情
严重性: High
ID: 112614
类型: remote
系列: Injection
发布时间: 2020/10/19
最近更新时间: 2024/2/8
扫描模板: api, full, pci, scan
风险信息
VPR
风险因素: Medium
分数: 5.4
CVSS v2
风险因素: High
基本分数: 9
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:P/A:P
CVSS 分数来源: Tenable
CVSS v3
风险因素: High
基本分数: 8.6
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
CVSS 分数来源: Tenable
CVSS v4
风险因素: High
Base Score: 7.2
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N
CVSS 分数来源: Tenable
参考资料信息
CWE: 1336
OWASP: 2010-A1, 2013-A1, 2017-A1, 2021-A3
WASC: Improper Input Handling
CAPEC: 10, 101, 108, 120, 13, 135, 14, 24, 250, 267, 273, 28, 3, 34, 42, 43, 45, 46, 47, 51, 52, 53, 6, 64, 67, 7, 71, 72, 76, 78, 79, 8, 80, 83, 84, 9
DISA STIG: APSC-DV-002560
HIPAA: 164.306(a)(1), 164.306(a)(2)
ISO: 27001-A.14.2.5
NIST: sp800_53-SI-10
OWASP API: 2019-API8
OWASP ASVS: 4.0.2-5.2.5
PCI-DSS: 3.2-6.5.1