ARK. 1Słownik pojęćPodatności i klasy błędów

CSV injection

Wstrzyknięcie do eksportowanego pliku CSV wartości zaczynającej się od =, +, - lub @, którą Excel lub LibreOffice potraktuje jako formułę — może ona wysłać dane na zewnątrz lub nakłonić użytkownika do uruchomienia polecenia. W WordPressie dotyczy wtyczek eksportujących dane wpisane przez odwiedzających: formularzy kontaktowych (np. WPForms Pro do 1.7.6), list użytkowników, recenzji WooCommerce.

TAB. 1Nazwapo angielsku

Po angielsku	CSV injection (formula injection)
Po polsku	CSV injection
Którą formą pisać	po angielsku Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim.
Inne formy	formula injection · wstrzyknięcie formuły · wstrzyknięcie do CSV
Odmiana	rodzaj żeński (ta podatność CSV injection) lub męski (ten atak); nieodmieniane

TAB. 3Źródła2

Forma	Cytat	Skąd
EN	„CSV Injection Spis treści Tym razem nie o podatności, a bardziej funkcjonalności, która może zostać użyta do ataków phishingowych.”	security.szurek.pl
EN	„CSV Injection, also known as Formula Injection, occurs when websites embed untrusted input inside CSV files.”	owasp.org

TAB. 4Obok w tej dziedzinie6

CNA	CVE Numbering Authority (CNA)	Organizacja upoważniona przez Program CVE do nadawania identyfikatorów CVE podatnościom w określonym zakresie. Dla WordPressa to przede wszystkim Wordfence, Patchstack i WPScan — nadają numery CVE podatnościom we wtyczkach, motywach i rdzeniu; w Polsce status CNA ma CERT Polska.
CORS misconfiguration	CORS misconfiguration	Zbyt liberalna konfiguracja nagłówków CORS (Access-Control-Allow-Origin), np. odbijanie dowolnego Origin z żądania razem z Access-Control-Allow-Credentials: true — obca strona może wtedy w imieniu zalogowanego użytkownika odczytać dane z API. W WordPressie dotyczy wtyczek lub reguł serwera, które dla REST API (/wp-json/) ustawiają nagłówki CORS na „*” albo kopiują Origin bez listy dozwolonych domen.
CSRF (Cross-Site Request Forgery)	cross-site request forgery (CSRF)	Atak zmuszający zalogowanego użytkownika do nieświadomego wysłania żądania zmieniającego stan konta lub witryny, gdy aplikacja nie weryfikuje pochodzenia żądania.
CVE	CVE	Publiczny identyfikator konkretnej ujawnionej podatności w formacie CVE-rok-numer, pozwalający jednoznacznie odwoływać się do niej w różnych systemach i biuletynach.
CVSS	CVSS	Standard punktowej oceny powagi podatności w skali 0–10, wyliczanej z metryk sposobu wykorzystania (m.in. wektor ataku, złożoność, wymagane uprawnienia) i skutków dla poufności, integralności i dostępności; służy do porównywania i priorytetyzacji luk.
CWE	CWE	Prowadzony przez MITRE katalog typów (klas) błędów w oprogramowaniu — np. CWE-79 dla XSS — nazywający PRZYCZYNĘ podatności, w odróżnieniu od CVE, który identyfikuje pojedynczy jej przypadek w konkretnym produkcie.

Cały słownik →