Jinja: Autoescaping desativado por padrão é um padrão perigoso

Jinja não é apenas para HTML, mas um mecanismo de template de uso geral. Acho que a maioria das pessoas usa Jinja no Flask, que ativa o escape automático por padrão para modelos HTML. Se você integrar um mecanismo de modelo em sua própria estrutura, deverá ler a documentação sobre como usá-lo com segurança.

Dito isso, acho que ser muito claro nos documentos que você provavelmente deve usar autoescape ao gerar HTML é uma boa sugestão.

Eu presumiria que a maioria dos principais frameworks acertou (mais olhos, menos bugs, etc.), mas também há muitos projetos menores integrando o Jinja manualmente que cometem esse erro.

E para ser franco, a documentação de Jinja é muito pobre nesse assunto. Aqui está o que você vê pela primeira vez ao abrir a documentação do Jinja:

Jinja2 é uma linguagem de modelos moderna e amigável para o designer para Python, modelada a partir dos modelos do Django. É rápido, amplamente usado e seguro com o ambiente de execução de modelo em sandbox opcional:

"modelado a partir dos templates do Django" e "seguro" pode levar a pensar que ele possui os recursos de segurança dos templates do Django, como autoescaping.

Então, um exemplo, que é HTML. E logo depois, na lista de recursos:

poderoso sistema de escape HTML automático para prevenção de XSS

O que não menciona que é opcional e não habilitado por padrão.

A página de documentos "Uso básico da API" não mostra o escape automático habilitado, mas também não mostra o HTML, então acho que está tudo bem. Mas então, quando você for para a página "Noções básicas" da

from jinja2 import Environment, PackageLoader
env = Environment(loader=PackageLoader('yourapplication', 'templates'))
template = env.get_template('mytemplate.html')
print template.render(the='variables', go='here')

O primeiro exemplo é vulnerável a XSSes triviais. As pessoas estão certas em ficarem confusas.

Parece um bom candidato para uma solicitação de pull :)

Não podemos desligar isso agora sem quebrar o código de todos. No entanto, estou feliz em atualizar os documentos de acordo. Vou fechar isso como um wontfix, mas fique à vontade para abrir um PR para atualizações de documentação.