ARK. 1Słownik pojęćPodatności i klasy błędów
eskalacja uprawnień
Uzyskanie wyższego poziomu uprawnień niż przysługujący — pionowo (subskrybent → administrator witryny, użytkownik → SYSTEM/root) albo poziomo, czyli sięgnięcie po zasoby innego użytkownika o tych samych uprawnieniach.
TAB. 1Nazwapo polsku
| Po angielsku | privilege escalation |
|---|---|
| Po polsku | eskalacja uprawnień |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | podnoszenie uprawnień · eskalacja przywilejów (wariant tagowy, niezalecany w tekście) |
| Odmiana | ta eskalacja uprawnień, tej eskalacji uprawnień, tę eskalację uprawnień, o eskalacji uprawnień |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | „eskalacja uprawnień” w tytułach i treści (sekurak, niebezpiecznik); angielskie „privilege escalation” tylko jako tag/metadana; poboczne: „eskalacja przywilejów”, „podnoszenie uprawnień” |
|---|
TAB. 3Źródła2
| Forma | Cytat | Skąd |
|---|---|---|
| PL (EN) | „Windows 10: exploit na podatność 0-day. Eskalacja uprawnień do SYSTEM (tag: privilege escalation)” | sekurak.pl |
| PL | „…exploita umożliwiającego eskalację uprawnień na systemie Windows…” | niebezpiecznik.pl |
TAB. 4Obok w tej dziedzinie6
| deserializacja niezaufanych danych (insecure deserialization) | insecure deserialization | Podatność polegająca na odtwarzaniu obiektów z niezaufanych danych wejściowych, co pozwala wymusić nieprzewidziane działania aplikacji, aż do wykonania kodu. |
| DOM-based XSS | DOM-based XSS | Odmiana XSS, w której złośliwy kod nie przechodzi przez odpowiedź serwera, tylko wykonuje go skrypt strony w przeglądarce, przepisując niezaufane dane (np. fragment adresu URL) do DOM przez innerHTML lub eval(). W WordPressie dotyczy głównie skryptów JS wtyczek i kreatorów stron — np. Elementor miał podatność DOM-based XSS w obsłudze parametru lightboxa w adresie. |
| EPSS | EPSS | Utrzymywany przez FIRST.org model punktowy szacujący prawdopodobieństwo (0–1, podawane też w procentach, przeliczane codziennie), że dana podatność zostanie wykorzystana w atakach w ciągu najbliższych 30 dni — uzupełnienie CVSS, które ocenia wagę skutków udanej eksploatacji, a nie szansę, że do niej dojdzie. |
| EUVD | European Vulnerability Database (EUVD) | Europejska baza danych o podatnościach prowadzona przez ENISA na podstawie dyrektywy NIS2, działająca od 13 maja 2025 r. Każdy wpis ma własny identyfikator EUVD-RRRR-NNNNN i wskazuje odpowiadający mu numer CVE, a dane zbiera z wielu źródeł: CSIRT-ów, komunikatów producentów i istniejących baz. |
| exploit | exploit | Kod, żądanie lub sekwencja kroków, które praktycznie wykorzystują konkretną podatność, aby osiągnąć zamierzony przez atakującego efekt — najczęściej wykonanie kodu, obejście uwierzytelnienia lub podniesienie uprawnień. |
| host header injection | host header injection / password reset poisoning | Wykorzystanie tego, że aplikacja ufa nagłówkowi Host z żądania HTTP — np. buduje z niego link resetu hasła; atakujący podmienia Host na własną domenę i przechwytuje token z maila ofiary (password reset poisoning). W WordPressie (luka opisana w 2017 r.) z nagłówka Host, przez zmienną SERVER_NAME, powstawał adres nadawcy (From/Return-Path) maila resetu — odpowiedź lub zwrotka z linkiem resetu mogła więc trafić do atakującego. |
TAB. 5