ARK. 1Słownik pojęćPodatności i klasy błędów
CNA
Organizacja upoważniona przez Program CVE do nadawania identyfikatorów CVE podatnościom w określonym zakresie. Dla WordPressa to przede wszystkim Wordfence, Patchstack i WPScan — nadają numery CVE podatnościom we wtyczkach, motywach i rdzeniu; w Polsce status CNA ma CERT Polska.
TAB. 1Nazwabez tłumaczenia
| Po angielsku | CVE Numbering Authority (CNA) |
|---|---|
| Po polsku | CNA |
| Którą formą pisać | bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle. |
| Inne formy | CVE Numbering Authority · organizacja nadająca numery CVE |
| Odmiana | skrót nieodmieniany lub odmieniany jak rzeczownik r.ż./r.n. („status CNA”, „jako CNA”) |
TAB. 2Jak to nazywająprasa vs urząd
| Urząd i ustawa | CERT Polska: „ma status CNA (CVE Numbering Authority), co pozwala na nadawanie identyfikatorów i publikowanie informacji o podatnościach”. |
|---|
TAB. 3Źródła4
| Forma | Cytat | Skąd |
|---|---|---|
| EN | „CERT Polska od roku ma status CNA (CVE Numbering Authority), co pozwala na nadawanie identyfikatorów i publikowanie informacji o podatnościach” | cert.pl |
| EN | „Każda osoba, która znajdzie podatność może zgłosić ją do organizacji będącej CNA, czyli CVE Numbering Authority.” | cert.pl |
| EN | „Wordfence has been authorized by the Common Vulnerabilities and Exposures (CVE®) Program as a CNA ( CVE Numbering Authority), which allows the company to directly assign CVE numbers” | wptavern.com |
| EN | „In terms of all-time vulnerability processors (CNAs), Patchstack has become the biggest discloser of vulnerabilities of all time , surpassing Wordfence, WPScan,” | patchstack.com |
TAB. 4Obok w tej dziedzinie6
| brak kontroli uprawnień (missing authorization) | missing authorization | Błąd polegający na tym, że funkcja lub punkt końcowy w ogóle nie sprawdza, czy wywołujący ma prawo wykonać daną operację — jedna z najczęstszych klas luk zgłaszanych we wtyczkach WordPressa. |
| Broken Access Control | broken access control | Kategoria-parasol z pierwszego miejsca listy OWASP Top 10, obejmująca wszystkie sytuacje, w których egzekwowanie uprawnień zawodzi — od całkowitego braku sprawdzenia (missing authorization, CWE-862), przez odwołania do cudzych obiektów (IDOR), po obejście istniejącej reguły. Skutkiem jest dostęp do danych lub funkcji zastrzeżonych dla innych. |
| bug bounty | bug bounty | Program, w którym właściciel oprogramowania płaci badaczom za zgłaszanie podatności zgodnie z określonym zakresem i regulaminem. |
| CORS misconfiguration | CORS misconfiguration | Zbyt liberalna konfiguracja nagłówków CORS (Access-Control-Allow-Origin), np. odbijanie dowolnego Origin z żądania razem z Access-Control-Allow-Credentials: true — obca strona może wtedy w imieniu zalogowanego użytkownika odczytać dane z API. W WordPressie dotyczy wtyczek lub reguł serwera, które dla REST API (/wp-json/) ustawiają nagłówki CORS na „*” albo kopiują Origin bez listy dozwolonych domen. |
| CSRF (Cross-Site Request Forgery) | cross-site request forgery (CSRF) | Atak zmuszający zalogowanego użytkownika do nieświadomego wysłania żądania zmieniającego stan konta lub witryny, gdy aplikacja nie weryfikuje pochodzenia żądania. |
| CSV injection | CSV injection (formula injection) | Wstrzyknięcie do eksportowanego pliku CSV wartości zaczynającej się od =, +, - lub @, którą Excel lub LibreOffice potraktuje jako formułę — może ona wysłać dane na zewnątrz lub nakłonić użytkownika do uruchomienia polecenia. W WordPressie dotyczy wtyczek eksportujących dane wpisane przez odwiedzających: formularzy kontaktowych (np. WPForms Pro do 1.7.6), list użytkowników, recenzji WooCommerce. |