ARK. 1Słownik pojęćPodatności i klasy błędów
biuletyn bezpieczeństwa
Oficjalny komunikat producenta (rzadziej badacza) opisujący podatność: wersje podatne, możliwe skutki, warunki wykorzystania i sposób usunięcia.
TAB. 1Nazwapo polsku
| Po angielsku | security advisory |
|---|---|
| Po polsku | biuletyn bezpieczeństwa |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | komunikat producenta · komunikat bezpieczeństwa · ogłoszenie o podatności |
| Odmiana | ten biuletyn bezpieczeństwa, tego biuletynu bezpieczeństwa, w biuletynie bezpieczeństwa; lm. biuletyny bezpieczeństwa, biuletynów bezpieczeństwa. |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | „Firma Ivanti opublikowała swój biuletyn bezpieczeństwa", „w biuletynie bezpieczeństwa QNAPa", obok wariantu „oficjalny komunikat producenta" (sekurak, dwa niezależne artykuły) |
|---|---|
| Urząd i ustawa | „Producent opublikował biuletyn bezpieczeństwa opisujący dwie podatności" (moje.cert.pl) |
TAB. 3Źródła4
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „Firma Ivanti opublikowała swój biuletyn bezpieczeństwa, w którym poinformowała o trwających kampaniach” | sekurak.pl |
| PL | „Podatność o której mowa, w biuletynie bezpieczeństwa QNAPa, została oznaczona jako CVE-2025-55315” | sekurak.pl |
| PL | „Producent opublikował biuletyn bezpieczeństwa opisujący dwie podatności: CVE-2026-19489 oraz CVE-2026-19490.” | moje.cert.pl |
| PL | „…także do zapoznania się z oficjalnym komunikatem producenta oprogramowania.” | sekurak.pl |
TAB. 4Obok w tej dziedzinie6
| blind SQL injection | blind SQL injection | Odmiana SQL injection, w której aplikacja nie pokazuje wyników zapytania ani błędów bazy, więc atakujący wydobywa dane pośrednio — z różnic w odpowiedzi (boolean-based) lub z czasu odpowiedzi (time-based, np. SLEEP). W WordPressie przykładem była wtyczka WordPress SEO by Yoast 1.7.3.3, gdzie parametr orderby trafiał do klauzuli ORDER BY mimo użycia esc_sql(). |
| błąd logiki biznesowej | business logic vulnerability | Luka wynikająca z tego, że aplikacja poprawnie technicznie, ale bez sprawdzenia reguł biznesowych wykonuje działania, których projektant nie przewidział — np. ujemna ilość w koszyku, wielokrotne użycie kuponu, pominięcie kroku płatności. W sklepie WooCommerce typowym przykładem są rozszerzenia rabatów lub bramek płatności, które ufają cenie albo statusowi zamówienia przesłanemu przez przeglądarkę. |
| błędna konfiguracja zabezpieczeń | security misconfiguration | Kategoria OWASP Top 10 (A02:2025) obejmująca podatności wynikające z ustawień, a nie z kodu: domyślne hasła, włączony tryb debugowania, listowanie katalogów, zbędne usługi, brak nagłówków bezpieczeństwa. W WordPressie to m.in. WP_DEBUG_DISPLAY włączone na produkcji, publicznie dostępny plik wp-config.php.bak, otwarte listowanie katalogu /wp-content/uploads/ czy pozostawiony instalator. |
| brak kontroli uprawnień (missing authorization) | missing authorization | Błąd polegający na tym, że funkcja lub punkt końcowy w ogóle nie sprawdza, czy wywołujący ma prawo wykonać daną operację — jedna z najczęstszych klas luk zgłaszanych we wtyczkach WordPressa. |
| Broken Access Control | broken access control | Kategoria-parasol z pierwszego miejsca listy OWASP Top 10, obejmująca wszystkie sytuacje, w których egzekwowanie uprawnień zawodzi — od całkowitego braku sprawdzenia (missing authorization, CWE-862), przez odwołania do cudzych obiektów (IDOR), po obejście istniejącej reguły. Skutkiem jest dostęp do danych lub funkcji zastrzeżonych dla innych. |
| bug bounty | bug bounty | Program, w którym właściciel oprogramowania płaci badaczom za zgłaszanie podatności zgodnie z określonym zakresem i regulaminem. |
TAB. 5