Un runtime dei template è la parte di un'applicazione web che combina i template con i dati per generare pagine. Risolve le variabili, applica i filtri, esegue la logica dei template e produce l'HTML finale che gli utenti vedono.
È importante nella sicurezza informatica perché questo livello si trova vicino all'input dell'utente e spesso dispone di potenti funzionalità di rendering. Se dati non fidati raggiungono il runtime senza una corretta escaping o sandboxing, gli aggressori possono causare un'iniezione di template lato server, esporre segreti o talvolta arrivare all'esecuzione di codice. Negli attacchi reali, il pericolo emerge quando un motore di template accetta espressioni, chiamate a funzioni di supporto o accessi non sicuri agli oggetti. Nelle difese, i team rafforzano il runtime usando una rigorosa escaping, limitando le funzionalità dei template, revisionando le funzioni di supporto personalizzate e mantenendo il codice dei template separato dal contenuto grezzo controllato dall'utente.