ARK. 1Słownik pojęćPodatności i klasy błędów

mass assignment

Podatność, w której aplikacja automatycznie przepisuje wszystkie pola z żądania (np. JSON do API) na obiekt lub rekord w bazie, więc atakujący może dopisać pole, którego nie powinien zmieniać — np. rolę administratora. W WordPressie analogiem jest endpoint REST lub AJAX wtyczki, który bez listy dozwolonych kluczy przekazuje całe $_POST do update_user_meta() lub wp_update_user().

TAB. 1Nazwapo angielsku

Po angielsku	mass assignment
Którą formą pisać	po angielsku Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim.
Inne formy	masowe przypisanie · podatność masowego przypisania
Odmiana	rodzaj żeński (ta podatność mass assignment); nieodmieniane

TAB. 2Jak to nazywająprasa vs urząd

Prasa branżowa	sekurak: „podatność masowego przypisania (mass assignment)”, wcześniej „klasę Mass Assignment, która najwyraźniej przeżywa drugą młodość”.

TAB. 3Źródła2

Forma	Cytat	Skąd
PL	„podatność masowego przypisania (mass assignment). Dzięki niej, możliwa jest zmiana np. pól obiektu, które nie powinny zostać zmienione.”	sekurak.pl
EN	„Chodzi o niby znaną od dłuższego czasu klasę Mass Assignment, która najwyraźniej przeżywa drugą młodość.”	sekurak.pl

TAB. 4Obok w tej dziedzinie6

LFI (Local File Inclusion)	local file inclusion (LFI)	Podatność pozwalająca wskazać aplikacji plik JUŻ OBECNY na serwerze, który zostanie wczytany lub wykonany przez interpreter, co prowadzi do ujawnienia konfiguracji, a często do wykonania kodu.
listowanie katalogów	directory listing (directory indexing)	Funkcja serwera WWW, która przy braku pliku index w katalogu wyświetla listę wszystkich znajdujących się w nim plików. Na stronie WordPress ujawnia np. zawartość wp-content/uploads, kopie zapasowe czy logi; wyłącza się ją dyrektywą Options -Indexes w .htaccess lub w konfiguracji serwera.
łatka (patch)	patch	Poprawka kodu wydana przez producenta, która usuwa konkretną podatność lub błąd w oprogramowaniu.
n-day	n-day	Podatność już publicznie znana i naprawiona przez producenta, wciąż skutecznie wykorzystywana na systemach, na których nie zainstalowano aktualizacji; exploity tej klasy są tanie lub darmowe, bo są publicznie dostępne.
NVD	National Vulnerability Database (NVD)	Amerykańska baza podatności prowadzona przez NIST, która uzupełnia rekordy CVE o analizę: ocenę CVSS, klasę CWE i listę dotkniętych produktów w formacie CPE. Sama nie nadaje numerów CVE — opisuje te, które nadały CNA, i robi to z opóźnieniem, więc świeży wpis często nie ma jeszcze oceny NVD.
obejście uwierzytelniania	authentication bypass	Podatność pozwalająca zalogować się lub działać jako inny użytkownik bez znajomości jego hasła ani drugiego składnika — np. przez alternatywną ścieżkę omijającą mechanizm logowania (CWE-288).

Cały słownik →