ARK. 1Słownik pojęćPodatności i klasy błędów

LFI (Local File Inclusion)

Podatność pozwalająca wskazać aplikacji plik JUŻ OBECNY na serwerze, który zostanie wczytany lub wykonany przez interpreter, co prowadzi do ujawnienia konfiguracji, a często do wykonania kodu.

TAB. 1Nazwabez tłumaczenia

Po angielsku	local file inclusion (LFI)
Po polsku	LFI (Local File Inclusion)
Którą formą pisać	bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle.
Inne formy	dołączenie pliku lokalnego
Odmiana	LFI nieodmienne (to LFI / ten LFI, o LFI); wzorzec: „podatność typu LFI", „atak LFI"; pełna nazwa nieodmienna („podatność typu Local File Inclusion")

TAB. 2Jak to nazywająprasa vs urząd

Prasa branżowa	sekurak: „RCE i LFI" (skrót w tytule, bez rozwinięcia); zaufanatrzeciastrona: „Od Local File Inclusion do zdalnego wykonania kodu" (tytuł, treści nie pobrano — HTTP 403)

TAB. 3Źródła2

Forma	Cytat	Skąd
PL (EN)	„umieszczenie plików na serwerze (ang.: local file inclusion) lub odczyt plików z serwera”	sekurak.pl
EN	„Grafana łata poważną podatność umożliwiającą RCE i LFI (tytuł, skrót bez rozwinięcia)”	sekurak.pl

TAB. 4Obok w tej dziedzinie6

HTTP request smuggling	HTTP request smuggling	Atak wykorzystujący to, że serwer pośredniczący (proxy, CDN, load balancer) i serwer docelowy różnie ustalają granice żądań (Content-Length vs Transfer-Encoding) — atakujący „przemyca” fragment własnego żądania, który dokleja się do żądania innego użytkownika. Dotyczy infrastruktury przed aplikacją, np. WordPressa za Cloudflare lub nginx.
IDOR (Insecure Direct Object Reference)	insecure direct object reference (IDOR)	Odmiana błędu kontroli dostępu, w której zmiana identyfikatora w żądaniu (np. numeru zamówienia albo parametru member_id) daje dostęp do cudzego rekordu, bo serwer nie sprawdza jego właściciela.
KEV	KEV (known exploited vulnerabilities)	Prowadzony przez amerykańską agencję CISA katalog podatności z potwierdzonymi przypadkami wykorzystania w realnych atakach. Dla amerykańskiej administracji federalnej wpis do KEV oznacza prawny obowiązek załatania w wyznaczonym terminie (dyrektywa BOD 22-01); dla wszystkich pozostałych to bardzo silna przesłanka priorytetu, a nie obowiązek.
listowanie katalogów	directory listing (directory indexing)	Funkcja serwera WWW, która przy braku pliku index w katalogu wyświetla listę wszystkich znajdujących się w nim plików. Na stronie WordPress ujawnia np. zawartość wp-content/uploads, kopie zapasowe czy logi; wyłącza się ją dyrektywą Options -Indexes w .htaccess lub w konfiguracji serwera.
łatka (patch)	patch	Poprawka kodu wydana przez producenta, która usuwa konkretną podatność lub błąd w oprogramowaniu.
mass assignment	mass assignment	Podatność, w której aplikacja automatycznie przepisuje wszystkie pola z żądania (np. JSON do API) na obiekt lub rekord w bazie, więc atakujący może dopisać pole, którego nie powinien zmieniać — np. rolę administratora. W WordPressie analogiem jest endpoint REST lub AJAX wtyczki, który bez listy dozwolonych kluczy przekazuje całe $_POST do update_user_meta() lub wp_update_user().

Cały słownik →