ARK. 1Słownik pojęćPodatności i klasy błędów
obejście uwierzytelniania
Podatność pozwalająca zalogować się lub działać jako inny użytkownik bez znajomości jego hasła ani drugiego składnika — np. przez alternatywną ścieżkę omijającą mechanizm logowania (CWE-288).
TAB. 1Nazwapo polsku
| Po angielsku | authentication bypass |
|---|---|
| Po polsku | obejście uwierzytelniania |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | obejście uwierzytelnienia · ominięcie logowania · dostęp bez uwierzytelnienia |
| Odmiana | to obejście uwierzytelniania, tego obejścia uwierzytelniania, o obejściu uwierzytelniania; czasownikowo: „obejść mechanizm uwierzytelniania”, potocznie „ominąć logowanie” |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | sekurak w tytule: „Obejście uwierzytelniania…”; warianty dopełniaczowe „bez uwierzytelnienia”, opis czasownikowy „obejść mechanizm uwierzytelniania” |
|---|---|
| Urząd i ustawa | CERT Polska w opisie CVE po polsku: „umożliwiają obejście uwierzytelniania”; angielskie „Authentication Bypass” tylko w nazwie CWE-288 |
TAB. 3Źródła2
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „Obejście uwierzytelniania – historia podatności znalezionej w programie Bug Bounty (Node.js)” | sekurak.pl |
| PL (EN) | „Centrale telefoniczne Slican umożliwiają obejście uwierzytelniania w protokole administracyjnym. (CWE-288: Authentication Bypass…)” | cert.pl |
TAB. 4Obok w tej dziedzinie6
| mass assignment | mass assignment | Podatność, w której aplikacja automatycznie przepisuje wszystkie pola z żądania (np. JSON do API) na obiekt lub rekord w bazie, więc atakujący może dopisać pole, którego nie powinien zmieniać — np. rolę administratora. W WordPressie analogiem jest endpoint REST lub AJAX wtyczki, który bez listy dozwolonych kluczy przekazuje całe $_POST do update_user_meta() lub wp_update_user(). |
| n-day | n-day | Podatność już publicznie znana i naprawiona przez producenta, wciąż skutecznie wykorzystywana na systemach, na których nie zainstalowano aktualizacji; exploity tej klasy są tanie lub darmowe, bo są publicznie dostępne. |
| NVD | National Vulnerability Database (NVD) | Amerykańska baza podatności prowadzona przez NIST, która uzupełnia rekordy CVE o analizę: ocenę CVSS, klasę CWE i listę dotkniętych produktów w formacie CPE. Sama nie nadaje numerów CVE — opisuje te, które nadały CNA, i robi to z opóźnieniem, więc świeży wpis często nie ma jeszcze oceny NVD. |
| open redirect | open redirect | Błąd (CWE-601) pozwalający zbudować link w zaufanej domenie, który przenosi użytkownika na dowolną stronę atakującego, bo aplikacja przyjmuje adres docelowy z parametru i nie sprawdza, czy prowadzi do własnego serwisu — chętnie wykorzystywany w phishingu. |
| OSV | Open Source Vulnerabilities (OSV) | Otwarty format opisu podatności w pakietach open source (schemat OSV) i zbudowana na nim baza OSV.dev prowadzona przez Google. Rekord OSV wskazuje dotknięte wersje pakietu albo zakres commitów, więc dopasowanie „czy moja wersja jest podatna” da się wykonać maszynowo, bez czytania opisu. |
| OWASP Top 10 | OWASP Top 10 | Aktualizowane co kilka lat zestawienie dziesięciu najpoważniejszych kategorii ryzyk w aplikacjach webowych, publikowane przez fundację OWASP i traktowane jako branżowy punkt odniesienia. Kategorie oznacza się kodami A01–A10 z rokiem edycji (np. A01:2025 Broken Access Control). |
TAB. 5