ARK. 1Słownik pojęćPodatności i klasy błędów

CWE

Prowadzony przez MITRE katalog typów (klas) błędów w oprogramowaniu — np. CWE-79 dla XSS — nazywający PRZYCZYNĘ podatności, w odróżnieniu od CVE, który identyfikuje pojedynczy jej przypadek w konkretnym produkcie.

TAB. 1Nazwabez tłumaczenia

Po angielsku	CWE
Którą formą pisać	bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle.
Inne formy	katalog klas błędów oprogramowania (gloss opisowy, nie etykieta) · klasyfikacja słabości oprogramowania
Odmiana	Skrót nieodmienny; wchodzi wprost do polskiego zdania z rzeczownikiem nadrzędnym: „klasa CWE-79", „katalog CWE", „zaklasyfikowana jako CWE-79". Nie zapisujemy „CWE-ka", nie odmieniamy identyfikatora.

TAB. 2Jak to nazywająprasa vs urząd

Prasa branżowa	CWE-79, CWE-122 — sam skrót z numerem, bez rozwinięcia, wewnątrz polskiego zdania (sekurak)
Urząd i ustawa	CWE-59 wraz z ANGIELSKĄ nazwą klasy, np. „Improper Link Resolution Before File Access ('Link Following') (CWE-59)" (cert.pl)

TAB. 3Źródła3

Forma	Cytat	Skąd
EN	„Zaklasyfikowana została jako CWE-79. (CWE-79 jako link do cwe.mitre.org)”	sekurak.pl
EN	„A heap-based buffer overflow vulnerability [CWE-122] in FortiOS SSL-VPN...”	sekurak.pl
EN	„Improper Link Resolution Before File Access ('Link Following') (CWE-59)”	cert.pl

TAB. 4Obok w tej dziedzinie6

CSV injection	CSV injection (formula injection)	Wstrzyknięcie do eksportowanego pliku CSV wartości zaczynającej się od =, +, - lub @, którą Excel lub LibreOffice potraktuje jako formułę — może ona wysłać dane na zewnątrz lub nakłonić użytkownika do uruchomienia polecenia. W WordPressie dotyczy wtyczek eksportujących dane wpisane przez odwiedzających: formularzy kontaktowych (np. WPForms Pro do 1.7.6), list użytkowników, recenzji WooCommerce.
CVE	CVE	Publiczny identyfikator konkretnej ujawnionej podatności w formacie CVE-rok-numer, pozwalający jednoznacznie odwoływać się do niej w różnych systemach i biuletynach.
CVSS	CVSS	Standard punktowej oceny powagi podatności w skali 0–10, wyliczanej z metryk sposobu wykorzystania (m.in. wektor ataku, złożoność, wymagane uprawnienia) i skutków dla poufności, integralności i dostępności; służy do porównywania i priorytetyzacji luk.
deserializacja niezaufanych danych (insecure deserialization)	insecure deserialization	Podatność polegająca na odtwarzaniu obiektów z niezaufanych danych wejściowych, co pozwala wymusić nieprzewidziane działania aplikacji, aż do wykonania kodu.
DOM-based XSS	DOM-based XSS	Odmiana XSS, w której złośliwy kod nie przechodzi przez odpowiedź serwera, tylko wykonuje go skrypt strony w przeglądarce, przepisując niezaufane dane (np. fragment adresu URL) do DOM przez innerHTML lub eval(). W WordPressie dotyczy głównie skryptów JS wtyczek i kreatorów stron — np. Elementor miał podatność DOM-based XSS w obsłudze parametru lightboxa w adresie.
EPSS	EPSS	Utrzymywany przez FIRST.org model punktowy szacujący prawdopodobieństwo (0–1, podawane też w procentach, przeliczane codziennie), że dana podatność zostanie wykorzystana w atakach w ciągu najbliższych 30 dni — uzupełnienie CVSS, które ocenia wagę skutków udanej eksploatacji, a nie szansę, że do niej dojdzie.

Cały słownik →