ARK. 1Słownik pojęćPodatności i klasy błędów

brak kontroli uprawnień (missing authorization)

Błąd polegający na tym, że funkcja lub punkt końcowy w ogóle nie sprawdza, czy wywołujący ma prawo wykonać daną operację — jedna z najczęstszych klas luk zgłaszanych we wtyczkach WordPressa.

TAB. 1Nazwaobie formy

Po angielsku	missing authorization
Po polsku	brak kontroli uprawnień (missing authorization)
Którą formą pisać	obie formy Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski.
Inne formy	brak weryfikacji uprawnień · brak sprawdzenia uprawnień · brak walidacji kontroli dostępu · brak autoryzacji (nie potwierdzono w źródłach)
Odmiana	ten brak kontroli uprawnień, tego braku kontroli uprawnień, o braku kontroli uprawnień; angielska nazwa klasy nieodmienna, tylko z nośnikiem: „podatność typu Missing Authorization”

TAB. 2Jak to nazywająprasa vs urząd

Prasa branżowa	„brak sprawdzenia uprawnień” (sekurak.pl — ale w kontekście systemowym, nie webowym)
Urząd i ustawa	„brak kontroli uprawnień”, „brak walidacji kontroli dostępu” + etykieta klasy po angielsku: „Missing Authorization (CWE-862)” (CERT Polska)

TAB. 3Źródła3

Forma	Cytat	Skąd
PL (EN)	„SOPlanning z powodu braku kontroli uprawnień w funkcjonalności Project Status pozwala każdemu uwierzytelnionemu atakującemu dodawać, edytować i usuwać dowolne statusy poprzez endpoint /status. — typ podatności: „Missing Authorization (CWE-862)””	cert.pl
PL (EN)	„Ze względu na brak walidacji kontroli dostępu, użytkownik bez uprawnień do danego eksperymentu może bezpośrednio odpytać ten endpoint i pobrać artefakty modelu — typ podatności: „Missing Authorization (CWE-862)” (MLflow)”	cert.pl
PL	„wykorzystuje brak sprawdzenia uprawnień w harmonogramie Windows”	sekurak.pl

TAB. 4Obok w tej dziedzinie6

blind SQL injection	blind SQL injection	Odmiana SQL injection, w której aplikacja nie pokazuje wyników zapytania ani błędów bazy, więc atakujący wydobywa dane pośrednio — z różnic w odpowiedzi (boolean-based) lub z czasu odpowiedzi (time-based, np. SLEEP). W WordPressie przykładem była wtyczka WordPress SEO by Yoast 1.7.3.3, gdzie parametr orderby trafiał do klauzuli ORDER BY mimo użycia esc_sql().
błąd logiki biznesowej	business logic vulnerability	Luka wynikająca z tego, że aplikacja poprawnie technicznie, ale bez sprawdzenia reguł biznesowych wykonuje działania, których projektant nie przewidział — np. ujemna ilość w koszyku, wielokrotne użycie kuponu, pominięcie kroku płatności. W sklepie WooCommerce typowym przykładem są rozszerzenia rabatów lub bramek płatności, które ufają cenie albo statusowi zamówienia przesłanemu przez przeglądarkę.
błędna konfiguracja zabezpieczeń	security misconfiguration	Kategoria OWASP Top 10 (A02:2025) obejmująca podatności wynikające z ustawień, a nie z kodu: domyślne hasła, włączony tryb debugowania, listowanie katalogów, zbędne usługi, brak nagłówków bezpieczeństwa. W WordPressie to m.in. WP_DEBUG_DISPLAY włączone na produkcji, publicznie dostępny plik wp-config.php.bak, otwarte listowanie katalogu /wp-content/uploads/ czy pozostawiony instalator.
Broken Access Control	broken access control	Kategoria-parasol z pierwszego miejsca listy OWASP Top 10, obejmująca wszystkie sytuacje, w których egzekwowanie uprawnień zawodzi — od całkowitego braku sprawdzenia (missing authorization, CWE-862), przez odwołania do cudzych obiektów (IDOR), po obejście istniejącej reguły. Skutkiem jest dostęp do danych lub funkcji zastrzeżonych dla innych.
bug bounty	bug bounty	Program, w którym właściciel oprogramowania płaci badaczom za zgłaszanie podatności zgodnie z określonym zakresem i regulaminem.
CNA	CVE Numbering Authority (CNA)	Organizacja upoważniona przez Program CVE do nadawania identyfikatorów CVE podatnościom w określonym zakresie. Dla WordPressa to przede wszystkim Wordfence, Patchstack i WPScan — nadają numery CVE podatnościom we wtyczkach, motywach i rdzeniu; w Polsce status CNA ma CERT Polska.

Cały słownik →