ARK. 1Słownik pojęćPodatności i klasy błędów

OSV

Otwarty format opisu podatności w pakietach open source (schemat OSV) i zbudowana na nim baza OSV.dev prowadzona przez Google. Rekord OSV wskazuje dotknięte wersje pakietu albo zakres commitów, więc dopasowanie „czy moja wersja jest podatna” da się wykonać maszynowo, bez czytania opisu.

TAB. 1Nazwabez tłumaczenia

Po angielsku	Open Source Vulnerabilities (OSV)
Po polsku	OSV
Którą formą pisać	bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle.
Inne formy	OSV.dev · schemat OSV · format OSV
Odmiana	skrót nieodmieniany („format OSV”, „rekord OSV”, „w OSV.dev”)

TAB. 3Źródła3

Forma	Cytat	Skąd
EN	„An open, precise, and distributed approach to producing and consuming vulnerability information for open source.”	osv.dev
EN	„The OSV schema provides a human and machine readable data format to describe vulnerabilities in a way that precisely maps to open source package versions or commit hashes.”	osv.dev
EN	„This document defines a standard interchange format for describing vulnerabilities in open source packages.”	ossf.github.io

TAB. 4Obok w tej dziedzinie6

NVD	National Vulnerability Database (NVD)	Amerykańska baza podatności prowadzona przez NIST, która uzupełnia rekordy CVE o analizę: ocenę CVSS, klasę CWE i listę dotkniętych produktów w formacie CPE. Sama nie nadaje numerów CVE — opisuje te, które nadały CNA, i robi to z opóźnieniem, więc świeży wpis często nie ma jeszcze oceny NVD.
obejście uwierzytelniania	authentication bypass	Podatność pozwalająca zalogować się lub działać jako inny użytkownik bez znajomości jego hasła ani drugiego składnika — np. przez alternatywną ścieżkę omijającą mechanizm logowania (CWE-288).
open redirect	open redirect	Błąd (CWE-601) pozwalający zbudować link w zaufanej domenie, który przenosi użytkownika na dowolną stronę atakującego, bo aplikacja przyjmuje adres docelowy z parametru i nie sprawdza, czy prowadzi do własnego serwisu — chętnie wykorzystywany w phishingu.
OWASP Top 10	OWASP Top 10	Aktualizowane co kilka lat zestawienie dziesięciu najpoważniejszych kategorii ryzyk w aplikacjach webowych, publikowane przez fundację OWASP i traktowane jako branżowy punkt odniesienia. Kategorie oznacza się kodami A01–A10 z rokiem edycji (np. A01:2025 Broken Access Control).
path traversal	path traversal	Podatność pozwalająca ciągami typu „../" wyjść poza katalog przewidziany przez aplikację i sięgnąć po dowolne pliki na serwerze.
PHP object injection	PHP object injection	Podatność polegająca na przekazaniu do funkcji unserialize() danych kontrolowanych przez atakującego, dzięki czemu może on stworzyć obiekt dowolnej klasy i — łącząc istniejące w kodzie metody magiczne w tzw. łańcuch POP — doprowadzić do wykonania kodu, usunięcia pliku albo zapytania SQL.

Cały słownik →