Se reportó una vulnerabilidad de Server Side Template Injection (SSTI) en Jinja2 2.10: la función from_string toma el parámetro "source" como plantilla, lo renderiza y lo devuelve, permitiendo a un atacante inyectar comandos con {{...}} a través de una URI. La falla está catalogada como CWE-94 (inyección de código) con un CVSS de 9.8 y un EPSS del 44,8% (percentil 99%), lo que indica alta probabilidad de explotación real en los próximos 30 días. Existe al menos una prueba de concepto pública en GitHub.
Sin embargo, el propio mantenedor y varios terceros consideran que la vulnerabilidad no es válida, argumentando que los usuarios no deberían renderizar plantillas no confiables sin sandboxing. GitHub la clasifica como CRITICAL pero marcada como DISPUTED. Shodan no tiene hosts indexados con este CVE detectado actualmente.
| CVE | CVE-2019-8341 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 44.8% en 30 días (percentil 99) |
| CWE | CWE-94 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
| PoC público | github.com |