ARK. 1Słownik pojęćStrony WWW, WordPress i hosting
escapowanie
Zakodowanie danych tuż przed wypisaniem ich na stronę, zależnie od kontekstu wyjścia (HTML, atrybut, URL, JavaScript), tak by przeglądarka potraktowała je jako tekst, a nie kod — podstawowa obrona przed XSS, wykonywana na wyjściu, a nie na wejściu.
TAB. 1Nazwapo polsku
| Po angielsku | escaping |
|---|---|
| Po polsku | escapowanie |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | kodowanie danych wyjściowych · kodowanie znaków specjalnych · zamiana na encje HTML |
| Odmiana | to escapowanie, tego escapowania, z escapowaniem; czas. escapować (escapuje), imiesł. escapowany, escapowane |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | „Escapowanie” (nagłówek sekcji), „domyślnie escapowane”, „poprawnego escapowania danych”, „z odpowiednim escapowaniem” (sekurak) |
|---|---|
| Urząd i ustawa | „kodowanie danych wyjściowych”: „zwraca wartość pola telefonu bez odpowiedniego kodowania danych wyjściowych” (cert.pl; słowa „escapowanie” nie używa) |
TAB. 3Źródła4
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „Escapowanie. (...) wszystkie dane użyte w pliku .cshtml są domyślnie escapowane, dlatego też kod javascript się nie wykona.” | sekurak.pl |
| PL | „programiści (...) zapomnieli o implementacji poprawnego escapowania danych, co potencjalnie prowadzić może do XSS-a” | sekurak.pl |
| PL | „%s zostanie podmieniony (z odpowiednim escapowaniem mającym chronić przed SQLi) na $meta_value” | sekurak.pl |
| PL | „szablon profilu zwraca wartość pola telefonu bez odpowiedniego kodowania danych wyjściowych. W rezultacie przeglądarka ofiary wykonuje osadzony kod JavaScript” | cert.pl |
TAB. 4Obok w tej dziedzinie6
| default_role | default_role | Opcja WordPressa określająca rolę, którą dostaje każdy nowy użytkownik — zarejestrowany sam albo dodany przez administratora (Ustawienia → Ogólne → Domyślna rola nowych użytkowników). Razem z opcją users_can_register („Każdy może się zarejestrować”) tworzy jedno ryzyko: otwarta rejestracja z rolą domyślną wyższą niż Subskrybent pozwala każdemu założyć konto z uprawnieniami. |
| edytor plików motywów i wtyczek | theme/plugin file editor (DISALLOW_FILE_EDIT) | Wbudowany w panel WordPressa edytor kodu (Wygląd → Edytor plików motywu, Wtyczki → Edytor plików wtyczek), który pozwala administratorowi zmieniać pliki PHP prosto z przeglądarki. Stała define('DISALLOW_FILE_EDIT', true); w wp-config.php wyłącza go, żeby przejęte konto administratora nie dawało od ręki możliwości wykonania kodu na serwerze. |
| enumeracja użytkowników | user enumeration | Pozyskiwanie listy istniejących loginów aplikacji — w WordPressie m.in. przez archiwa autorów, adres /?author=1 i endpoint /wp-json/wp/v2/users, gdzie indziej przez różnicę w odpowiedziach dla konta istniejącego i nieistniejącego — jako przygotowanie do ataku na hasła. |
| fałszywa wtyczka | fake plugin / malicious plugin | Wtyczka WordPressa stworzona lub przerobiona w złym zamiarze — często podszywająca się pod znaną nazwę (np. Wordfence) albo obiecująca „optymalizację SEO” — która po instalacji tworzy konta administratorów, instaluje backdoor lub wstrzykuje złośliwy kod. Trafia na stronę przez przejęty panel admina, fałszywe maile „od zespołu WordPressa” albo z nieoficjalnych źródeł. |
| flagi ciasteczek | cookie security attributes (HttpOnly, Secure, SameSite) | Atrybuty nagłówka Set-Cookie ograniczające nadużycia ciasteczek: HttpOnly blokuje odczyt przez JavaScript (utrudnia kradzież sesji przez XSS), Secure pozwala wysyłać ciasteczko tylko po HTTPS, SameSite ogranicza wysyłanie przy żądaniach z innych witryn (ochrona przed CSRF). WordPress ustawia ciasteczka logowania z HttpOnly, a z Secure na stronach działających po HTTPS. |
| hasła aplikacji | application passwords (WordPress) | Mechanizm WordPressa (od wersji 5.6), w którym w profilu użytkownika generuje się osobne hasło dla każdej zewnętrznej aplikacji łączącej się przez REST API lub XML-RPC. Każde można odwołać niezależnie, ale daje ono aplikacji pełne uprawnienia roli tego użytkownika i omija logowanie z 2FA. |