ARK. 1Słownik pojęćPodatności i klasy błędów
CSRF (Cross-Site Request Forgery)
Atak zmuszający zalogowanego użytkownika do nieświadomego wysłania żądania zmieniającego stan konta lub witryny, gdy aplikacja nie weryfikuje pochodzenia żądania.
TAB. 1Nazwabez tłumaczenia
| Po angielsku | cross-site request forgery (CSRF) |
|---|---|
| Po polsku | CSRF (Cross-Site Request Forgery) |
| Którą formą pisać | bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle. |
| Inne formy | fałszowanie żądań |
| Odmiana | ten CSRF, tego CSRF-a, o CSRF-ie (łącznik, BEZ apostrofu); pełna nazwa nieodmienna („podatność typu Cross-Site Request Forgery"); przymiotnikowo opisowo: „token CSRF", „ochrona anty-CSRF" |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | sekurak: „CSRF (Cross-Site Request Forgery; alternatywnie: XSRF, session riding, one-click attack)"; niebezpiecznik: „Cross-Site Request Forgery (CSRF)" oraz gloss „Fałszowanie żądań" |
|---|---|
| Urząd i ustawa | cert.pl: „ataki typu Reflected XSS oraz Cross-Site Request Forgery" — nazwa angielska w polskiej składni |
TAB. 3Źródła5
| Forma | Cytat | Skąd |
|---|---|---|
| EN | „CSRF (Cross-Site Request Forgery; alternatwnie używane nazwy: XSRF, session riding czy one-click attack)…” | sekurak.pl |
| EN | „CSRF to również nie to samo co XSS.” | sekurak.pl |
| EN | „jak również ataki typu Reflected XSS oraz Cross-Site Request Forgery” | cert.pl |
| PL (EN) | „Cross Site Request Forgery: "Fałszowanie żądań"” | niebezpiecznik.pl |
| EN | „Cross-Site Request Forgery (CSRF)” | niebezpiecznik.pl |
TAB. 4Obok w tej dziedzinie6
| bug bounty | bug bounty | Program, w którym właściciel oprogramowania płaci badaczom za zgłaszanie podatności zgodnie z określonym zakresem i regulaminem. |
| CNA | CVE Numbering Authority (CNA) | Organizacja upoważniona przez Program CVE do nadawania identyfikatorów CVE podatnościom w określonym zakresie. Dla WordPressa to przede wszystkim Wordfence, Patchstack i WPScan — nadają numery CVE podatnościom we wtyczkach, motywach i rdzeniu; w Polsce status CNA ma CERT Polska. |
| CORS misconfiguration | CORS misconfiguration | Zbyt liberalna konfiguracja nagłówków CORS (Access-Control-Allow-Origin), np. odbijanie dowolnego Origin z żądania razem z Access-Control-Allow-Credentials: true — obca strona może wtedy w imieniu zalogowanego użytkownika odczytać dane z API. W WordPressie dotyczy wtyczek lub reguł serwera, które dla REST API (/wp-json/) ustawiają nagłówki CORS na „*” albo kopiują Origin bez listy dozwolonych domen. |
| CSV injection | CSV injection (formula injection) | Wstrzyknięcie do eksportowanego pliku CSV wartości zaczynającej się od =, +, - lub @, którą Excel lub LibreOffice potraktuje jako formułę — może ona wysłać dane na zewnątrz lub nakłonić użytkownika do uruchomienia polecenia. W WordPressie dotyczy wtyczek eksportujących dane wpisane przez odwiedzających: formularzy kontaktowych (np. WPForms Pro do 1.7.6), list użytkowników, recenzji WooCommerce. |
| CVE | CVE | Publiczny identyfikator konkretnej ujawnionej podatności w formacie CVE-rok-numer, pozwalający jednoznacznie odwoływać się do niej w różnych systemach i biuletynach. |
| CVSS | CVSS | Standard punktowej oceny powagi podatności w skali 0–10, wyliczanej z metryk sposobu wykorzystania (m.in. wektor ataku, złożoność, wymagane uprawnienia) i skutków dla poufności, integralności i dostępności; służy do porównywania i priorytetyzacji luk. |
TAB. 5