ARK. 1Słownik pojęćPodatności i klasy błędów

NVD

Amerykańska baza podatności prowadzona przez NIST, która uzupełnia rekordy CVE o analizę: ocenę CVSS, klasę CWE i listę dotkniętych produktów w formacie CPE. Sama nie nadaje numerów CVE — opisuje te, które nadały CNA, i robi to z opóźnieniem, więc świeży wpis często nie ma jeszcze oceny NVD.

TAB. 1Nazwabez tłumaczenia

Po angielsku	National Vulnerability Database (NVD)
Po polsku	NVD
Którą formą pisać	bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle.
Inne formy	National Vulnerability Database · baza NIST · amerykańska baza podatności
Odmiana	skrót nieodmieniany („w NVD”, „ocena NVD”, „baza NVD”)

TAB. 2Jak to nazywająprasa vs urząd

Prasa branżowa	sekurak.pl używa samego skrótu: „zasilany zagregowanymi źródłami danych o podatnościach, m.in. NVD i biuletynami producentów”

TAB. 3Źródła2

Forma	Cytat	Skąd
EN	„NIST maintains the National Vulnerability Database (NVD), a repository of information on software and hardware flaws that can compromise computer security.”	nist.gov
PL	„zasilany zagregowanymi źródłami danych o podatnościach, m.in. NVD i biuletynami producentów”	sekurak.pl

TAB. 4Obok w tej dziedzinie6

łatka (patch)	patch	Poprawka kodu wydana przez producenta, która usuwa konkretną podatność lub błąd w oprogramowaniu.
mass assignment	mass assignment	Podatność, w której aplikacja automatycznie przepisuje wszystkie pola z żądania (np. JSON do API) na obiekt lub rekord w bazie, więc atakujący może dopisać pole, którego nie powinien zmieniać — np. rolę administratora. W WordPressie analogiem jest endpoint REST lub AJAX wtyczki, który bez listy dozwolonych kluczy przekazuje całe $_POST do update_user_meta() lub wp_update_user().
n-day	n-day	Podatność już publicznie znana i naprawiona przez producenta, wciąż skutecznie wykorzystywana na systemach, na których nie zainstalowano aktualizacji; exploity tej klasy są tanie lub darmowe, bo są publicznie dostępne.
obejście uwierzytelniania	authentication bypass	Podatność pozwalająca zalogować się lub działać jako inny użytkownik bez znajomości jego hasła ani drugiego składnika — np. przez alternatywną ścieżkę omijającą mechanizm logowania (CWE-288).
open redirect	open redirect	Błąd (CWE-601) pozwalający zbudować link w zaufanej domenie, który przenosi użytkownika na dowolną stronę atakującego, bo aplikacja przyjmuje adres docelowy z parametru i nie sprawdza, czy prowadzi do własnego serwisu — chętnie wykorzystywany w phishingu.
OSV	Open Source Vulnerabilities (OSV)	Otwarty format opisu podatności w pakietach open source (schemat OSV) i zbudowana na nim baza OSV.dev prowadzona przez Google. Rekord OSV wskazuje dotknięte wersje pakietu albo zakres commitów, więc dopasowanie „czy moja wersja jest podatna” da się wykonać maszynowo, bez czytania opisu.

Cały słownik →