[Skill 名] php-tpl-audit

PHP テンプレートインジェクション/SSTI 監査（php-tpl-audit）

PHP プロジェクトのソースコードを分析し、テンプレートインジェクション（SSTI）と危険な式実行のリスクを特定します。ユーザーが制御できるコンテンツが、テンプレートの選択、レンダリング式の解析、または実行可能なコードへの変換に影響を与えるケースを検出します。

分類と番号付け

• 詳細については、shared/SEVERITY_RATING.md を参照してください。
• 脆弱性番号：{C/H/M/L}-TPL-{連番}

TPL Sink（必須）

テンプレート関連のレンダリング/実行ポイント：

• Twig：
  • Environment->load($templateName) / createTemplate($name) / render($template)
  • |raw または自動エスケープポリシーの無効化（証拠点が必要です）
• Laravel Blade（Illuminate/View、PHP ネイティブで一般的）：
  • view($templateName, $data) / View::make($templateName, $data)
  • Illuminate\View\Factory->make($template) / レンダリングエントリ $engine->render({value})
  • テンプレートが制御可能な場合：Blade の raw 出力（{!! !!}）と @php ディレクティブは高リスクの実行チェーンに属します（レンダリング/コンパイルエントリに証拠点が必要です）
• Smarty：
  • Smarty->fetch($template) / display($template)
• カスタムテンプレートエンジン：
  • eval()、preg_replace('/e')、create_function などがテンプレート式に使用されている場合
  • call_user_func / call_user_func_array の引数がユーザー入力に由来する場合（式をトリガーする可能性があります）

制御可能性（必須）

以下を必ず出力してください：

• ユーザー入力が「テンプレート名/テンプレートフラグメント/式文字列」にどのように入るか
• 厳密なホワイトリストによるテンプレート名マッピングが存在するか
• サンドボックス/式制限が存在するか

tracer トリガー条件（必須）

• テンプレートの選択/式の構築が複数の関数にまたがる、または文字列連結を経由する場合

証拠引用（必須：php-route-tracer から）

各テンプレートインジェクション/SSTI の疑いのある脆弱性について、trace 出力の ## 9) Sink Evidence Type Checklist の TPL 行に対応する証拠要点を個別に引用する必要があります（ステータスは検証待ちでも構いませんが、証拠引用は必須です）：

1. EVID_TPL_ENGINE_RENDER_OR_PARSE_ENTRY：テンプレートエンジンレンダリング/式解析ポイント位置の証拠（load/createTemplate/fetch/render または同等のエントリ）
2. EVID_TPL_TEMPLATE_OR_EXPR_CONTROL：テンプレート名または式が制御可能であるかどうかの証拠（ルーティングパラメータからテンプレート構築変数へのマッピングに由来）
3. EVID_TPL_EXEC_CHAIN_ENTRY：実行チェーンエントリの証拠（式の評価/コンパイル/実行：例 raw/disable escape、eval/use of call_user_func など）

tracer 証拠欠落の処理（必須）

• 上記 1～3 のいずれかの重要な証拠要点を特定できない場合：その脆弱性のステータスは ⚠️検証待ち としかマークできず、直接 ✅悪用可能と確認済み とすることはできません。

レポート出力

以下に出力されます：

{output_path}/vuln_audit/tpl_{timestamp}.md

項目には、データフローチェーン、悪用可能な前提条件、実行可能な PoC フレームワーク、修正推奨事項、および検索クエリを含める必要があります。