ARK. 1Słownik pojęćStrony WWW, WordPress i hosting
porzucona wtyczka
Wtyczka, której autor przestał rozwijać i łatać, przez co znane w niej podatności pozostają nienaprawione, mimo że wtyczka nadal działa na stronie.
TAB. 1Nazwapo polsku
| Po angielsku | abandoned plugin |
|---|---|
| Po polsku | porzucona wtyczka |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | nierozwijana wtyczka · wtyczka bez wsparcia · wtyczka usunięta z repozytorium |
| Odmiana | ta porzucona wtyczka, tej porzuconej wtyczki, te porzucone wtyczki, tych porzuconych wtyczek |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | opisowo: „właściciele plugina nie mają możliwości jego aktualizacji", „przekazany (sprzedany?) pod opiekę innej firmie" (sekurak) |
|---|---|
| Urząd i ustawa | opisowo przez aktualność: „utrzymywać aktualne wersje systemu CMS, jego wtyczek, rozszerzeń, motywów" (CERT Polska) |
TAB. 3Źródła4
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „Plugin został przekazany (sprzedany?) pod opiekę innej firmie” | sekurak.pl |
| PL | „Dodatkowo, oficjalni właściciele plugina nie mają obecnie możliwości jego aktualizacji” | sekurak.pl |
| PL | „Należy utrzymywać aktualne wersje systemu CMS, jego wtyczek, rozszerzeń, motywów, a także aktualną wersję oprogramowania serwera” | wiedza.cert.pl |
| PL | „wordpress_plugins – Sprawdza, czy wtyczki WordPress są aktualne” | wiedza.cert.pl |
TAB. 4Obok w tej dziedzinie6
| podatność w motywie | theme vulnerability | Błąd bezpieczeństwa w kodzie motywu (szablonu) WordPressa lub w bibliotece dołączonej do motywu, wykorzystywany do przejęcia strony — groźny zwłaszcza w motywach kupowanych na giełdach szablonów, rzadko aktualizowanych, oraz w motywach nieaktywnych, które pozostają na serwerze i nadal zawierają podatny kod. |
| podatność we wtyczce | plugin vulnerability | Błąd bezpieczeństwa w kodzie wtyczki WordPressa, pozwalający napastnikowi na działania niedostępne dla zwykłego użytkownika (wgranie pliku, zmianę treści, przejęcie konta). Wtyczki odpowiadają za zdecydowaną większość publikowanych podatności ekosystemu WordPressa i są — obok słabych i wykradzionych haseł — jednym z głównych wektorów przejmowania stron. |
| podmiana treści strony (defacement) | defacement | Atak polegający na jawnym zastąpieniu wyglądu lub treści strony komunikatem napastnika, nastawiony na rozgłos i kompromitację właściciela, a nie na pozostanie w ukryciu. |
| prefiks tabel | database table prefix (changing wp_) | Przedrostek nazw tabel bazy danych WordPressa ustawiany w wp-config.php zmienną $table_prefix (domyślnie wp_, np. wp_users). Zmiana na nietypowy utrudnia gotowym exploitom SQL injection zgadywanie nazw tabel, ale nie usuwa samej luki; na działającej stronie wymaga zmiany nazw tabel i wpisów w wp_options oraz wp_usermeta. |
| role i uprawnienia użytkowników | user roles and capabilities (WordPress) | System WordPressa przypisujący każdemu kontu rolę (Administrator, Redaktor, Autor, Współpracownik, Subskrybent; w sieci witryn także Super administrator), a roli zestaw uprawnień (capabilities), np. edit_posts, install_plugins. Z punktu widzenia bezpieczeństwa: jak najmniej kont z rolą Administrator, a luki we wtyczkach dostępne „dla subskrybenta” są groźne, gdy rejestracja jest otwarta. |
| sanityzacja danych wejściowych | sanitization | Oczyszczanie i filtrowanie danych przyjmowanych od użytkownika do dopuszczalnej postaci w momencie ich wczytania, zanim trafią do bazy lub logiki aplikacji. |