ARK. 1Słownik pojęćPodatności i klasy błędów

CORS misconfiguration

Zbyt liberalna konfiguracja nagłówków CORS (Access-Control-Allow-Origin), np. odbijanie dowolnego Origin z żądania razem z Access-Control-Allow-Credentials: true — obca strona może wtedy w imieniu zalogowanego użytkownika odczytać dane z API. W WordPressie dotyczy wtyczek lub reguł serwera, które dla REST API (/wp-json/) ustawiają nagłówki CORS na „*” albo kopiują Origin bez listy dozwolonych domen.

TAB. 1Nazwapo angielsku

Po angielsku	CORS misconfiguration
Którą formą pisać	po angielsku Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim.
Inne formy	błędna konfiguracja CORS · źle skonfigurowany CORS
Odmiana	rodzaj żeński (ta błędna konfiguracja); CORS rodzaju męskiego, nieodmieniany

TAB. 2Jak to nazywająprasa vs urząd

Prasa branżowa	sekurak objaśnia mechanizm po polsku: „* (gwiazdka – każdy może się skontaktować z serwerem za pomocą CORS)”.

TAB. 3Źródła2

Forma	Cytat	Skąd
PL	„Jego wartość to pojedynczy Origin (na przykład http://example.com ) lub * (gwiazdka – każdy może się skontaktować z serwerem za pomocą CORS).”	sekurak.pl
EN	„who popularized this attack class with the presentation Exploiting CORS misconfigurations for Bitcoins and bounties”	portswigger.net

TAB. 4Obok w tej dziedzinie6

Broken Access Control	broken access control	Kategoria-parasol z pierwszego miejsca listy OWASP Top 10, obejmująca wszystkie sytuacje, w których egzekwowanie uprawnień zawodzi — od całkowitego braku sprawdzenia (missing authorization, CWE-862), przez odwołania do cudzych obiektów (IDOR), po obejście istniejącej reguły. Skutkiem jest dostęp do danych lub funkcji zastrzeżonych dla innych.
bug bounty	bug bounty	Program, w którym właściciel oprogramowania płaci badaczom za zgłaszanie podatności zgodnie z określonym zakresem i regulaminem.
CNA	CVE Numbering Authority (CNA)	Organizacja upoważniona przez Program CVE do nadawania identyfikatorów CVE podatnościom w określonym zakresie. Dla WordPressa to przede wszystkim Wordfence, Patchstack i WPScan — nadają numery CVE podatnościom we wtyczkach, motywach i rdzeniu; w Polsce status CNA ma CERT Polska.
CSRF (Cross-Site Request Forgery)	cross-site request forgery (CSRF)	Atak zmuszający zalogowanego użytkownika do nieświadomego wysłania żądania zmieniającego stan konta lub witryny, gdy aplikacja nie weryfikuje pochodzenia żądania.
CSV injection	CSV injection (formula injection)	Wstrzyknięcie do eksportowanego pliku CSV wartości zaczynającej się od =, +, - lub @, którą Excel lub LibreOffice potraktuje jako formułę — może ona wysłać dane na zewnątrz lub nakłonić użytkownika do uruchomienia polecenia. W WordPressie dotyczy wtyczek eksportujących dane wpisane przez odwiedzających: formularzy kontaktowych (np. WPForms Pro do 1.7.6), list użytkowników, recenzji WooCommerce.
CVE	CVE	Publiczny identyfikator konkretnej ujawnionej podatności w formacie CVE-rok-numer, pozwalający jednoznacznie odwoływać się do niej w różnych systemach i biuletynach.

Cały słownik →