ARK. 1Słownik pojęćPodatności i klasy błędów
Broken Access Control
Kategoria-parasol z pierwszego miejsca listy OWASP Top 10, obejmująca wszystkie sytuacje, w których egzekwowanie uprawnień zawodzi — od całkowitego braku sprawdzenia (missing authorization, CWE-862), przez odwołania do cudzych obiektów (IDOR), po obejście istniejącej reguły. Skutkiem jest dostęp do danych lub funkcji zastrzeżonych dla innych.
TAB. 1Nazwapo angielsku
| Po angielsku | broken access control |
|---|---|
| Którą formą pisać | po angielsku Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim. |
| Inne formy | błędy kontroli dostępu · błędy w kontroli dostępu · nieprawidłowa kontrola dostępu (nie występuje w zebranych źródłach; możliwa forma z oficjalnych tłumaczeń OWASP — do weryfikacji przed użyciem) |
| Odmiana | rodzaj męski, nieodmienny; wyłącznie z polskim nośnikiem: „podatność/atak/kategoria typu Broken Access Control”, „w kategorii Broken Access Control” |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | „A01:2025 – Broken Access Control (błędy w kontroli dostępu)”, „błędy kontroli dostępu” (sekurak.pl) |
|---|---|
| Urząd i ustawa | „podatny na atak typu Broken Access Control” — nazwa angielska w polskim zdaniu (CERT Polska) |
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| PL (EN) | „A01:2025 – Broken Access Control (błędy w kontroli dostępu)” | sekurak.pl |
| PL (EN) | „błędy kontroli dostępu zajmują zaszczytne pierwsze miejsce — obok: „A01:2021 – Broken Access Control”” | sekurak.pl |
| EN | „Sparx Pro Cloud Server jest podatny na atak typu Broken Access Control w komunikacji z bazą danych.” | cert.pl |
TAB. 4Obok w tej dziedzinie6
| błąd logiki biznesowej | business logic vulnerability | Luka wynikająca z tego, że aplikacja poprawnie technicznie, ale bez sprawdzenia reguł biznesowych wykonuje działania, których projektant nie przewidział — np. ujemna ilość w koszyku, wielokrotne użycie kuponu, pominięcie kroku płatności. W sklepie WooCommerce typowym przykładem są rozszerzenia rabatów lub bramek płatności, które ufają cenie albo statusowi zamówienia przesłanemu przez przeglądarkę. |
| błędna konfiguracja zabezpieczeń | security misconfiguration | Kategoria OWASP Top 10 (A02:2025) obejmująca podatności wynikające z ustawień, a nie z kodu: domyślne hasła, włączony tryb debugowania, listowanie katalogów, zbędne usługi, brak nagłówków bezpieczeństwa. W WordPressie to m.in. WP_DEBUG_DISPLAY włączone na produkcji, publicznie dostępny plik wp-config.php.bak, otwarte listowanie katalogu /wp-content/uploads/ czy pozostawiony instalator. |
| brak kontroli uprawnień (missing authorization) | missing authorization | Błąd polegający na tym, że funkcja lub punkt końcowy w ogóle nie sprawdza, czy wywołujący ma prawo wykonać daną operację — jedna z najczęstszych klas luk zgłaszanych we wtyczkach WordPressa. |
| bug bounty | bug bounty | Program, w którym właściciel oprogramowania płaci badaczom za zgłaszanie podatności zgodnie z określonym zakresem i regulaminem. |
| CNA | CVE Numbering Authority (CNA) | Organizacja upoważniona przez Program CVE do nadawania identyfikatorów CVE podatnościom w określonym zakresie. Dla WordPressa to przede wszystkim Wordfence, Patchstack i WPScan — nadają numery CVE podatnościom we wtyczkach, motywach i rdzeniu; w Polsce status CNA ma CERT Polska. |
| CORS misconfiguration | CORS misconfiguration | Zbyt liberalna konfiguracja nagłówków CORS (Access-Control-Allow-Origin), np. odbijanie dowolnego Origin z żądania razem z Access-Control-Allow-Credentials: true — obca strona może wtedy w imieniu zalogowanego użytkownika odczytać dane z API. W WordPressie dotyczy wtyczek lub reguł serwera, które dla REST API (/wp-json/) ustawiają nagłówki CORS na „*” albo kopiują Origin bez listy dozwolonych domen. |