ARK. 1Słownik pojęćPodatności i klasy błędów

prototype pollution

Podatność specyficzna dla JavaScriptu: atakujący dopisuje właściwości do wspólnego prototypu obiektów (np. przez klucz __proto__ w scalanym JSON-ie), przez co zmienia zachowanie całej aplikacji — po stronie przeglądarki zwykle prowadzi do DOM XSS, w Node.js nawet do RCE. W WordPressie dotyczyła dołączanego jQuery: jQuery.extend() przed wersją 3.4.0 był podatny (CVE-2019-11358).

TAB. 1Nazwapo angielsku

Po angielsku	prototype pollution
Którą formą pisać	po angielsku Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim.
Inne formy	zanieczyszczenie prototypu · zatruwanie prototypu
Odmiana	rodzaj żeński (ta podatność prototype pollution); nieodmieniane

TAB. 2Jak to nazywająprasa vs urząd

Prasa branżowa	sekurak: „dość mało znaną klasą podatności: Prototype Pollution”.

TAB. 3Źródła3

Forma	Cytat	Skąd
EN	„szczególnie że cała sprawa wiązała się z dość mało znaną klasą podatności: Prototype Pollution .”	sekurak.pl
EN	„istnieje kilka rodzajów błędów, które spotyka się w zasadzie tylko w aplikacjach stworzonych w języku JavaScript. Dobrym przykładem jest tzw. Prototype Pollution .”	sekurak.pl
EN	„Prototype pollution is a JavaScript vulnerability that enables an attacker to add arbitrary properties to global object prototypes”	portswigger.net

TAB. 4Obok w tej dziedzinie6

PoC (proof of concept)	proof of concept (PoC)	Minimalny, demonstracyjny przykład wykorzystania podatności, publikowany po to, by dowieść, że luka jest realna — bez pełnego uzbrojenia w złośliwy ładunek, który miałby ją zamienić w gotowe narzędzie ataku.
podatność	vulnerability	Błąd lub słabość w kodzie, konfiguracji albo projekcie systemu, którą atakujący może wykorzystać do działania niezgodnego z zamierzeniem twórcy — na przykład odczytu cudzych danych, podniesienia uprawnień lub przejęcia kontroli nad systemem.
podatność wykorzystywana bez uwierzytelnienia	unauthenticated vulnerability	Luka, którą można wykorzystać bez posiadania konta i bez zalogowania się, przez co jest znacznie groźniejsza od luk wymagających uprawnień (opisywanych w skali Wordfence jako subscriber+ czy admin+).
publicznie dostępne pliki wrażliwe	sensitive file exposure (.sql dumps, .env, .git)	Pliki, które nie powinny być osiągalne z przeglądarki, a leżą w katalogu strony: zrzuty bazy (.sql), archiwa kopii (backup.zip), pliki konfiguracyjne (.env, wp-config.php.bak), katalog .git. Boty skanują takie ścieżki masowo, a jedno pobranie daje hasła do bazy lub cały kod źródłowy.
race condition	race condition	Błąd wynikający z nieprawidłowej synchronizacji operacji wykonywanych równocześnie na współdzielonym zasobie — wynik zależy wtedy od kolejności zdarzeń. Szczególnym, najczęściej wykorzystywanym w atakach przypadkiem jest TOCTOU, gdy stan jest sprawdzany w innym momencie niż używany, co pozwala np. wielokrotnie zrealizować jednorazowy kupon.
Reflected XSS	reflected XSS	Odmiana XSS, w której skrypt przekazany w żądaniu (najczęściej w adresie URL) jest natychmiast odsyłany w odpowiedzi i wykonuje się tylko u ofiary, która kliknęła spreparowany link.

Cały słownik →