Инъекция серверных шаблонов.

Инъекция серверных шаблонов (SSTI) возникает, когда пользовательский ввод склеивается с шаблоном, обрабатываемым движком вроде Jinja2, Twig, Freemarker, Velocity или ERB. Многие движки допускают в выражениях обращение к объектам и вызов методов, поэтому пейлоады вида {{7*7}} или ${...} могут читать переменные среды, обходить граф объектов и в конечном счёте выполнять произвольный код или системные команды. Последствия — от утечки данных до полного захвата сервера. Защита: передавать пользовательские данные только как переменные шаблона (а не как сам шаблон), использовать песочничные или logic-less движки, ограничивать имена шаблонов белым списком, применять контекстную кодировку вывода и запускать приложение с минимальными правами.