ARK. 1Słownik pojęćPodatności i klasy błędów
Reflected XSS
Odmiana XSS, w której skrypt przekazany w żądaniu (najczęściej w adresie URL) jest natychmiast odsyłany w odpowiedzi i wykonuje się tylko u ofiary, która kliknęła spreparowany link.
TAB. 1Nazwapo angielsku
| Po angielsku | reflected XSS |
|---|---|
| Którą formą pisać | po angielsku Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim. |
| Inne formy | odbity XSS |
| Odmiana | nazwa nieodmienna; odmienia się skrót, z łącznikiem i BEZ apostrofu: ten Reflected XSS, tego Reflected XSS-a, o Reflected XSS-ie; bezpieczny wzorzec: „atak typu Reflected XSS" |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | sekurak: „Reflected XSS – w tym przypadku kod javascript zaszyty jest w linku" |
|---|---|
| Urząd i ustawa | cert.pl: „atak typu Reflected Cross-Site Scripting (XSS)", „ataki typu Reflected XSS" |
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| EN | „Oprogramowanie Wirtualna Uczelnia jest podatne na atak typu Reflected Cross-Site Scripting (XSS) z powodu niewłaściwej obsługi parametru `locale`” | cert.pl |
| EN | „jak również ataki typu Reflected XSS oraz Cross-Site Request Forgery” | cert.pl |
| EN | „Reflected XSS – w tym przypadku kod javascript zaszyty jest w linku” | sekurak.pl |
TAB. 4Obok w tej dziedzinie6
| prototype pollution | prototype pollution | Podatność specyficzna dla JavaScriptu: atakujący dopisuje właściwości do wspólnego prototypu obiektów (np. przez klucz __proto__ w scalanym JSON-ie), przez co zmienia zachowanie całej aplikacji — po stronie przeglądarki zwykle prowadzi do DOM XSS, w Node.js nawet do RCE. W WordPressie dotyczyła dołączanego jQuery: jQuery.extend() przed wersją 3.4.0 był podatny (CVE-2019-11358). |
| publicznie dostępne pliki wrażliwe | sensitive file exposure (.sql dumps, .env, .git) | Pliki, które nie powinny być osiągalne z przeglądarki, a leżą w katalogu strony: zrzuty bazy (.sql), archiwa kopii (backup.zip), pliki konfiguracyjne (.env, wp-config.php.bak), katalog .git. Boty skanują takie ścieżki masowo, a jedno pobranie daje hasła do bazy lub cały kod źródłowy. |
| race condition | race condition | Błąd wynikający z nieprawidłowej synchronizacji operacji wykonywanych równocześnie na współdzielonym zasobie — wynik zależy wtedy od kolejności zdarzeń. Szczególnym, najczęściej wykorzystywanym w atakach przypadkiem jest TOCTOU, gdy stan jest sprawdzany w innym momencie niż używany, co pozwala np. wielokrotnie zrealizować jednorazowy kupon. |
| RFI (Remote File Inclusion) | remote file inclusion (RFI) | Podatność, w której aplikacja PHP dołącza przez include/require plik wskazany przez atakującego z zewnętrznego serwera i wykonuje go jak własny kod. Wymaga zwykle włączonej dyrektywy allow_url_include; w WordPressie zdarza się w porzuconych wtyczkach — np. Canto < 3.0.5 przez parametr wp_abspath. |
| security through obscurity | security through obscurity | Opieranie ochrony na tym, że napastnik nie zna szczegółów systemu (ukryty adres logowania, zmieniony prefiks tabel, ukryta wersja WordPressa). Jako jedyna warstwa jest zawodne; jako dodatek do aktualizacji i silnego uwierzytelniania odsiewa część automatycznych ataków. |
| security.txt | security.txt | Plik tekstowy /.well-known/security.txt (standard RFC 9116) z danymi kontaktowymi do zgłaszania podatności: adres e-mail lub formularz, klucz PGP, polityka ujawniania i data ważności (pole Expires). Na WordPressie można go dodać ręcznie w katalogu strony albo wtyczką. |