ARK. 1Słownik pojęćPodatności i klasy błędów

security.txt

Plik tekstowy /.well-known/security.txt (standard RFC 9116) z danymi kontaktowymi do zgłaszania podatności: adres e-mail lub formularz, klucz PGP, polityka ujawniania i data ważności (pole Expires). Na WordPressie można go dodać ręcznie w katalogu strony albo wtyczką.

TAB. 1Nazwabez tłumaczenia

Po angielsku	security.txt
Którą formą pisać	bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle.
Inne formy	plik security.txt
Odmiana	nieodmieniane; „plik security.txt”, „w pliku security.txt”

TAB. 2Jak to nazywająprasa vs urząd

Urząd i ustawa	CERT Polska w dobrych praktykach zarządzania bezpieczeństwem oprogramowania rekomenduje opublikowanie pliku security.txt (RFC 9116); sam udostępnia go pod cert.pl/.well-known/security.txt.

TAB. 3Źródła1

Forma	Cytat	Skąd
EN	„Powinien on zostać umieszczony w ścieżce: /.well-known/security.txt (można go też umieścić w drugiej lokalizacji obok pliku robots.txt”	nfsec.pl

TAB. 4Obok w tej dziedzinie6

Reflected XSS	reflected XSS	Odmiana XSS, w której skrypt przekazany w żądaniu (najczęściej w adresie URL) jest natychmiast odsyłany w odpowiedzi i wykonuje się tylko u ofiary, która kliknęła spreparowany link.
RFI (Remote File Inclusion)	remote file inclusion (RFI)	Podatność, w której aplikacja PHP dołącza przez include/require plik wskazany przez atakującego z zewnętrznego serwera i wykonuje go jak własny kod. Wymaga zwykle włączonej dyrektywy allow_url_include; w WordPressie zdarza się w porzuconych wtyczkach — np. Canto < 3.0.5 przez parametr wp_abspath.
security through obscurity	security through obscurity	Opieranie ochrony na tym, że napastnik nie zna szczegółów systemu (ukryty adres logowania, zmieniony prefiks tabel, ukryta wersja WordPressa). Jako jedyna warstwa jest zawodne; jako dodatek do aktualizacji i silnego uwierzytelniania odsiewa część automatycznych ataków.
session fixation	session fixation	Atak, w którym napastnik narzuca ofierze znany sobie identyfikator sesji (np. w linku), a gdy ofiara się zaloguje, przejmuje jej uwierzytelnioną sesję. Ochroną jest wydawanie nowego identyfikatora po zalogowaniu (w PHP session_regenerate_id(true)); rdzeń WordPressa nie opiera logowania na sesji PHP, więc ryzyko dotyczy głównie wtyczek, które same używają $_SESSION.
skoordynowane ujawnianie podatności	coordinated vulnerability disclosure (CVD)	Praktyka, w której badacz najpierw zgłasza podatność producentowi (lub zespołowi CERT jako stronie zaufanej), a szczegóły publikuje dopiero po wydaniu poprawki lub po upływie ustalonego terminu — CERT Polska publikuje wpisy CVE po 90 dniach od przekazania szczegółów producentowi.
SQL injection	SQL injection	Podatność pozwalająca wpleść własne polecenia w zapytanie do bazy danych i odczytać, zmienić lub usunąć dane, do których atakujący nie ma prawa.

Cały słownik →