Guía de Ataques SSTI 2026: Detección, Explotación y Bypass de Server-Side Template Injection
La inyección de plantillas del lado del servidor (SSTI, por sus siglas en inglés) es una de las vulnerabilidades web más peligrosas que vas a encontrar en un pentest. Un simple {{7*7}} en el campo correcto puede darte ejecución remota de código completa en un servidor de producción. Esta guía cubre todo: detección, fingerprinting, explotación, bypass de WAF y defensa, para todos los motores de plantillas principales en 2026. ¿Qué es SSTI? Los frameworks web usan motores de plantillas para renderizar contenido dinámico — Flask con Jinja2, aplicaciones PHP con Twig, aplicaciones Java con FreeMarker. Cuando la entrada del usuario se concatena directamente en una cadena de plantilla en lugar de pasarse como variable, el motor de plantillas la evalúa. Eso es SSTI. ...