Template injection

Template injection is een kwetsbaarheid in webapplicaties waarbij een aanvaller code kan injecteren in de sjabloonengine van de server of client-side rendering engine van een webapplicatie. Deze code kan dan worden uitgevoerd binnen de context van de webapplicatie en kan leiden tot het uitvoeren van kwaadaardige acties, zoals het stelen van gevoelige informatie, het overnemen van de server of client, of het uitvoeren van andere ongeoorloofde activiteiten.

In wezen maakt template injection gebruik van kwetsbaarheden in de manier waarop webapplicaties dynamische sjablonen verwerken, waarbij gebruikersinvoer niet goed wordt gevalideerd of gefilterd voordat deze wordt gebruikt in sjablonen. Wanneer dit gebeurt, kan een aanvaller een payload invoegen die vervolgens wordt verwerkt door de sjabloonengine en wordt uitgevoerd.

Template injection kent twee smaken:

Server-side template injection
Het risico van server-side template injection is dat het een aanvaller in staat stelt om kwaadaardige code uit te voeren op de server. Dit kan leiden tot het volledig overnemen van de server, het lekken van gevoelige informatie en het uitvoeren van andere kwaadaardige activiteiten. Dit kan een zeer ernstige bedreiging vormen voor de beveiliging van een webapplicatie en kan leiden tot ernstige gevolgen voor de privacy en de financiële stabiliteit van een organisatie.

Client-side template injection
Het risico van client-side template injection is dat het een aanvaller in staat stelt om kwaadaardige code uit te voeren op de client, zoals de browser van de gebruiker. Dit kan leiden tot het stelen van gevoelige informatie, zoals inloggegevens, financiële gegevens en persoonlijke gegevens van de gebruiker. Een aanvaller kan ook kwaadaardige scripts injecteren die worden uitgevoerd wanneer een gebruiker interactie heeft met de pagina, waardoor de aanvaller de controle kan overnemen over de browser van de gebruiker. Dit kan leiden tot het uitvoeren van andere kwaadaardige activiteiten, zoals het downloaden van malware, het weergeven van neppe webpagina's of het stelen van sessiecookies.