Аудит joke-php/templator на коммите eecfa4b7dec3897f24dafa30cd450abada15fa0b

Короткое резюме

Коммит eecfa4b7dec3897f24dafa30cd450abada15fa0b реализует шаблонизатор с компиляцией AST в PHP и последующим include кэшированного файла. Ключевой риск не в классическом eval , а в цепочке compileFile() → сырой TextNode → include $cache->path : при неограниченном пути к шаблону это даёт чтение произвольных файлов, а при попадании в шаблон текста с <?php ... ?> — исполнение PHP-кода из “текстового” шаблона.

Топ-5 критичных/высоких проблем в этом коммите:

1. LFI/path traversal через includeFile() / compileFile() : путь к шаблону никак не ограничен корнем шаблонов и читается напрямую через file_get_contents() .
2. RCE через “обычный текст” шаблона: TextNodeHandler возвращает сырой текст без экранирования/нейтрализации PHP-тегов, а кэш затем исполняется через include .
3. Расхождение compile vs render на отсутствующих ключах: compiled-mode генерирует прямой доступ вида $context['user']['name'] , тогда как render-mode идёт через resolveValue(..., $default) ; это ломает предсказуемость и приводит к предупреждениям PHP на пустых данных.
4. Потеря внешних локальных переменных в вложенных foreach при компиляции: внутренний цикл затирает список localVars , из-за чего обращения к переменным внешнего цикла компилируются уже как $context[...] .
5. {% csrf %} создаёт ложное ощущение защиты: код выводит только сырой токен, а не hidden-input; кроме того, compiled/render paths ведут себя по-разному при недоступных сервисах.

php

// Плохо: путь приходит извне
$engine->includeFile($_GET['tpl'], []);

// /page?tpl=../../../../etc/passwd

php

file_put_contents('/tmp/tpl.php', '<?php echo "PWNED"; ?>');
$engine->includeFile('/tmp/tpl.php', []);
// Ожидание от шаблонизатора: вывести literal text
// Фактически: выполнить PHP-код

php

// Шаблон
{{ user.name }}

// Что генерирует компилятор по сути:
<?= htmlspecialchars((string)$context['user']['name'], ENT_QUOTES, 'UTF-8'); ?>

// Что делает render-mode:
$value = resolveValue($context, 'user.name', '', 'PrintNode'); // => ''

twig

{% foreach user in users %}
  {% foreach role in roles %}
    {{ user }}
  {% /foreach %}
{% /foreach %}

php

// Внутри inner-foreach localVars уже только ['role'],
// поэтому {{ user }} компилируется не в $user, а в $context['user'].

html

<form method="post">
  {% csrf %}
  <button>Save</button>
</form>

html

<form method="post">
  3c6f4b...
  <button>Save</button>
</form>

php

$template = str_repeat('a', 1_000_000) . '{{ user.name }}';

text

composer install
composer stan
composer fixer
composer test
# Psalm в этом коммите не настроен; для него сначала нужно добавить зависимость и конфиг.