漏洞描述
Laravel LaRecipe 存在模板注入漏洞，漏洞的技术原理在于 LaRecipe 的文档渲染模块采用了不安全的动态模板编译方式。具体而言，当系统解析Markdown 文档时，会直接通过 renderBlade() 方法处理文档内容，而未对用户可控内容中的 Blade 模板指令（如 {{ }}、{!!!!}）进行过滤或转义。这种设计缺陷使得攻击者能够通过构造特殊的文档内容，将任意 PHP 代码注入到模板渲染流程中。由于 Laravel 的 Blade引擎默认具备完整的 PHP 执行能力，最终导致攻击者可以实现远程代码执行。