5 - Server-side template injection with information disclosure via user-supplied objects

#portswigger #ssti #python #infodisclosure #django

Si hacemos:

{% debug %}

vemos listamos los objetos y propiedades a los que podemos acceder. Veamos que podemos acceder a product y a settings.

{{settings.SECRET_KEY}}