Plantillas del servidor: cómo se reconocen en la evidencia

El uso correcto de un motor de plantillas tiene dos piezas separadas: la plantilla, que escribió el equipo y vive en un archivo del repositorio, y el contexto, que es el conjunto de valores que se le pasan al renderizar. El texto de la persona pertenece al contexto. Si ese texto se concatena al cuerpo de la plantilla antes de renderizar, el motor lo lee como plantilla y evalúa lo que encuentre dentro.

La diferencia con un fallo del lado del navegador es dónde ocurre: aquí la evaluación pasa en el servidor, con los permisos del proceso de la aplicación, y por eso la severidad no se parece. MITRE lo cataloga aparte, en CWE-1336, dentro de la familia de inyección.

En un repositorio sano todas las plantillas son archivos. Cuando una vista arma la plantilla como una cadena en tiempo de ejecución es siempre por una razón de negocio —un texto configurable, un mensaje personalizado— y es ahí donde entra el texto de la persona.

Abre el laboratorio y compara, vista por vista, de dónde sale la plantilla y qué papel tiene el texto de quien escribe.

El registro de la aplicación es la mejor evidencia de esta familia, y casi nadie la pide. Un error del motor que nombra un archivo cuenta un problema normal de desarrollo. Un error del motor que no puede nombrar ningún archivo está diciendo que la plantilla que falló no existía en disco: se construyó al vuelo.

Cuenta esas entradas en el registro del periodo. Son la prueba de que el camino que viste en el código se recorre de verdad.

En el registro hay una entrada distinta de las demás: no es un error, es la descripción de lo que recibió el destinatario de una carta. Ese tipo de observación —el documento devuelve el resultado de algo que la persona escribió como texto— es lo que confirma que el motor evaluó la entrada en lugar de mostrarla.

Es también la evidencia que se cita en el informe, porque se entiende sin saber nada del motor: quien lo lee ve que el servidor hizo una cuenta que nadie le pidió.

La corrección tiene una sola forma: la plantilla vuelve a ser un archivo del repositorio y el texto de la persona pasa como valor del contexto. Si el negocio exige que alguien pueda editar el texto, ese texto se trata como contenido —se inserta ya renderizado, nunca como plantilla— y quien lo edita es una función de administración con su propio control de acceso.

Reducir los permisos del motor o quitarle funciones ayuda como segunda capa, pero no es la corrección: la causa sigue siendo que la entrada se interpreta.