SSTI Email: Инъекция шаблона в email-сообщение

# SSTI в письме восстановления пароля ## Сценарий Вы участвуете в программе bug bounty кофейного сервиса подписок **BrewBean**. Другой исследователь обронил в отчёте, что «в письмах восстановления пароля что-то исполняется», и координатор отправил вас проверять. Форма позволяет задать собственный текст письма: в нём заявлены плейсхолдеры имени и ссылки сброса, сервер подставляет значения и возвращает предпросмотр готового письма. В контексте подстановки хранится конфиденциальная метка — извлеките её, располагая обычной учётной записью. ## Цель 1. Проверьте, как сервер обрабатывает поле шаблона письма: буквальная замена плейсхолдеров или полноценный шаблонизатор. 2. Выведите контекст подстановки целиком и найдите незаявленные поля. 3. Извлеките значение конфиденциальной метки через предпросмотр письма. ## Теория SSTI часто живёт в механизмах писем и уведомлений: разработчик даёт пользователю настраивать текст с плейсхолдерами, но вместо буквальной замены подключает шаблонизатор. Любая директива в пользовательском тексте становится исполняемым кодом с доступом к контексту подстановки. Форма восстановления пароля — частая жертва: она открыта без авторизации, а в контексте письма традиционно крутятся токены и другие чувствительные значения. **Уязвимый паттерн:** ```go tmpl, _ := texttemplate.New("email").Parse(messageTemplate) ``` Текст из формы парсится как шаблон и исполняется со структурой данных письма: имя пользователя, ссылка сброса, имя приложения — и конфиденциальная метка, не заявленная в списке плейсхолдеров. Предпросмотр в ответе формы сразу показывает результат рендеринга, так что канал чтения — мгновенный. ## Точка входа атаки `POST /forgot-password` — форма восстановления пароля (поля `username` и `message_template`); предпросмотр письма возвращается в ответе. * **Учётные данные:** `demo` / `demo` * **Цель:** конфиденциальная метка из контекста подстановки письма