ARK. 1Słownik pojęćPodatności i klasy błędów

CSRF (Cross-Site Request Forgery)

Atak zmuszający zalogowanego użytkownika do nieświadomego wysłania żądania zmieniającego stan konta lub witryny, gdy aplikacja nie weryfikuje pochodzenia żądania.

TAB. 1Nazwabez tłumaczenia

Po angielsku	cross-site request forgery (CSRF)
Po polsku	CSRF (Cross-Site Request Forgery)
Którą formą pisać	bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle.
Inne formy	fałszowanie żądań
Odmiana	ten CSRF, tego CSRF-a, o CSRF-ie (łącznik, BEZ apostrofu); pełna nazwa nieodmienna („podatność typu Cross-Site Request Forgery"); przymiotnikowo opisowo: „token CSRF", „ochrona anty-CSRF"

TAB. 2Jak to nazywająprasa vs urząd

Prasa branżowa	sekurak: „CSRF (Cross-Site Request Forgery; alternatywnie: XSRF, session riding, one-click attack)"; niebezpiecznik: „Cross-Site Request Forgery (CSRF)" oraz gloss „Fałszowanie żądań"
Urząd i ustawa	cert.pl: „ataki typu Reflected XSS oraz Cross-Site Request Forgery" — nazwa angielska w polskiej składni

TAB. 3Źródła5

Forma	Cytat	Skąd
EN	„CSRF (Cross-Site Request Forgery; alternatwnie używane nazwy: XSRF, session riding czy one-click attack)…”	sekurak.pl
EN	„CSRF to również nie to samo co XSS.”	sekurak.pl
EN	„jak również ataki typu Reflected XSS oraz Cross-Site Request Forgery”	cert.pl
PL (EN)	„Cross Site Request Forgery: "Fałszowanie żądań"”	niebezpiecznik.pl
EN	„Cross-Site Request Forgery (CSRF)”	niebezpiecznik.pl

TAB. 4Obok w tej dziedzinie6

brak kontroli uprawnień (missing authorization)	missing authorization	Błąd polegający na tym, że funkcja lub punkt końcowy w ogóle nie sprawdza, czy wywołujący ma prawo wykonać daną operację — jedna z najczęstszych klas luk zgłaszanych we wtyczkach WordPressa.
Broken Access Control	broken access control	Kategoria-parasol z pierwszego miejsca listy OWASP Top 10, obejmująca wszystkie sytuacje, w których egzekwowanie uprawnień zawodzi — od całkowitego braku sprawdzenia (missing authorization, CWE-862), przez odwołania do cudzych obiektów (IDOR), po obejście istniejącej reguły. Skutkiem jest dostęp do danych lub funkcji zastrzeżonych dla innych.
bug bounty	bug bounty	Program, w którym właściciel oprogramowania płaci badaczom za zgłaszanie podatności zgodnie z określonym zakresem i regulaminem.
CVE	CVE	Publiczny identyfikator konkretnej ujawnionej podatności w formacie CVE-rok-numer, pozwalający jednoznacznie odwoływać się do niej w różnych systemach i biuletynach.
CVSS	CVSS	Standard punktowej oceny powagi podatności w skali 0–10, wyliczanej z metryk sposobu wykorzystania (m.in. wektor ataku, złożoność, wymagane uprawnienia) i skutków dla poufności, integralności i dostępności; służy do porównywania i priorytetyzacji luk.
CWE	CWE	Prowadzony przez MITRE katalog typów (klas) błędów w oprogramowaniu — np. CWE-79 dla XSS — nazywający PRZYCZYNĘ podatności, w odróżnieniu od CVE, który identyfikuje pojedynczy jej przypadek w konkretnym produkcie.

Cały słownik →