ARK. 1Słownik pojęćPodatności i klasy błędów
IDOR (Insecure Direct Object Reference)
Odmiana błędu kontroli dostępu, w której zmiana identyfikatora w żądaniu (np. numeru zamówienia albo parametru member_id) daje dostęp do cudzego rekordu, bo serwer nie sprawdza jego właściciela.
TAB. 1Nazwabez tłumaczenia
| Po angielsku | insecure direct object reference (IDOR) |
|---|---|
| Po polsku | IDOR (Insecure Direct Object Reference) |
| Którą formą pisać | bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle. |
| Inne formy | niezabezpieczone bezpośrednie odwołanie do obiektu (nie potwierdzono w źródłach — tylko opis, nie nazwa) |
| Odmiana | ten IDOR, nieodmienny w źródłach („podatność IDOR”, „atak typu IDOR”); bez apostrofu — akronim czytany po polsku; przymiotnikowo opisowo: „podatność klasy IDOR”, nie „idorowy” |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | „podatność Insecure Direct Object Reference (IDOR)”, dalej samo „IDOR” (sekurak.pl) |
|---|---|
| Urząd i ustawa | „podatny na atak typu Insecure Direct Object Reference (IDOR)” (CERT Polska) |
TAB. 3Źródła2
| Forma | Cytat | Skąd |
|---|---|---|
| EN | „W interfejsie API Mozilli wykryto podatność Insecure Direct Object Reference (IDOR), która umożliwiała […] usunięcie konta innego użytkownika” | sekurak.pl |
| EN | „ATutor jest podatny na atak typu Insecure Direct Object Reference (IDOR) w endpointach związanych z obsługą zdjęć profilowych.” | cert.pl |
TAB. 4Obok w tej dziedzinie6
| exploit | exploit | Kod, żądanie lub sekwencja kroków, które praktycznie wykorzystują konkretną podatność, aby osiągnąć zamierzony przez atakującego efekt — najczęściej wykonanie kodu, obejście uwierzytelnienia lub podniesienie uprawnień. |
| host header injection | host header injection / password reset poisoning | Wykorzystanie tego, że aplikacja ufa nagłówkowi Host z żądania HTTP — np. buduje z niego link resetu hasła; atakujący podmienia Host na własną domenę i przechwytuje token z maila ofiary (password reset poisoning). W WordPressie (luka opisana w 2017 r.) z nagłówka Host, przez zmienną SERVER_NAME, powstawał adres nadawcy (From/Return-Path) maila resetu — odpowiedź lub zwrotka z linkiem resetu mogła więc trafić do atakującego. |
| HTTP request smuggling | HTTP request smuggling | Atak wykorzystujący to, że serwer pośredniczący (proxy, CDN, load balancer) i serwer docelowy różnie ustalają granice żądań (Content-Length vs Transfer-Encoding) — atakujący „przemyca” fragment własnego żądania, który dokleja się do żądania innego użytkownika. Dotyczy infrastruktury przed aplikacją, np. WordPressa za Cloudflare lub nginx. |
| KEV | KEV (known exploited vulnerabilities) | Prowadzony przez amerykańską agencję CISA katalog podatności z potwierdzonymi przypadkami wykorzystania w realnych atakach. Dla amerykańskiej administracji federalnej wpis do KEV oznacza prawny obowiązek załatania w wyznaczonym terminie (dyrektywa BOD 22-01); dla wszystkich pozostałych to bardzo silna przesłanka priorytetu, a nie obowiązek. |
| LFI (Local File Inclusion) | local file inclusion (LFI) | Podatność pozwalająca wskazać aplikacji plik JUŻ OBECNY na serwerze, który zostanie wczytany lub wykonany przez interpreter, co prowadzi do ujawnienia konfiguracji, a często do wykonania kodu. |
| listowanie katalogów | directory listing (directory indexing) | Funkcja serwera WWW, która przy braku pliku index w katalogu wyświetla listę wszystkich znajdujących się w nim plików. Na stronie WordPress ujawnia np. zawartość wp-content/uploads, kopie zapasowe czy logi; wyłącza się ją dyrektywą Options -Indexes w .htaccess lub w konfiguracji serwera. |