ARK. 1Słownik pojęćPodatności i klasy błędów
SQL injection
Podatność pozwalająca wpleść własne polecenia w zapytanie do bazy danych i odczytać, zmienić lub usunąć dane, do których atakujący nie ma prawa.
TAB. 1Nazwapo angielsku
| Po angielsku | SQL injection |
|---|---|
| Którą formą pisać | po angielsku Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim. |
| Inne formy | wstrzyknięcie SQL · wstrzyknięcie zapytania SQL · błędy wstrzyknięcia |
| Odmiana | nieodmienne, rodzaj męski: ten SQL injection, tego SQL injection, o SQL injection; skrót SQLi w praktyce nieodmienny, bez apostrofu (ten SQLi, tego SQLi); bezpieczny wzorzec: „błąd/podatność typu SQL injection"; czasownikowo po polsku: wstrzyknąć fragment zapytania SQL |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | „SQL injection", „SQL Injection", „SQLi", „błąd typu SQL injection" (sekurak, niebezpiecznik); gloss kategorii OWASP: „Błędy wstrzyknięcia" |
|---|
TAB. 3Źródła4
| Forma | Cytat | Skąd |
|---|---|---|
| EN | „SQL injection należy do pierwszej (A1) z dziesięciu kategorii błędów” | sekurak.pl |
| EN | „atakujący wstrzykuje do aplikacji (nieautoryzowany) fragment zapytania SQL” | sekurak.pl |
| EN | „zgłoszenia błędu typu SQL injection w BIP-ie Kancelarii Prezesa Rady Ministrów” | niebezpiecznik.pl |
| PL (EN) | „Injection: "Błędy wstrzyknięcia"” | niebezpiecznik.pl |
TAB. 4Obok w tej dziedzinie6
| security.txt | security.txt | Plik tekstowy /.well-known/security.txt (standard RFC 9116) z danymi kontaktowymi do zgłaszania podatności: adres e-mail lub formularz, klucz PGP, polityka ujawniania i data ważności (pole Expires). Na WordPressie można go dodać ręcznie w katalogu strony albo wtyczką. |
| session fixation | session fixation | Atak, w którym napastnik narzuca ofierze znany sobie identyfikator sesji (np. w linku), a gdy ofiara się zaloguje, przejmuje jej uwierzytelnioną sesję. Ochroną jest wydawanie nowego identyfikatora po zalogowaniu (w PHP session_regenerate_id(true)); rdzeń WordPressa nie opiera logowania na sesji PHP, więc ryzyko dotyczy głównie wtyczek, które same używają $_SESSION. |
| skoordynowane ujawnianie podatności | coordinated vulnerability disclosure (CVD) | Praktyka, w której badacz najpierw zgłasza podatność producentowi (lub zespołowi CERT jako stronie zaufanej), a szczegóły publikuje dopiero po wydaniu poprawki lub po upływie ustalonego terminu — CERT Polska publikuje wpisy CVE po 90 dniach od przekazania szczegółów producentowi. |
| SSRF (Server-Side Request Forgery) | server-side request forgery (SSRF) | Podatność, w której atakujący zmusza serwer aplikacji do wysłania żądania pod wskazany przez siebie adres, sięgając do zasobów wewnętrznych niedostępnych z internetu. |
| SSTI | server-side template injection (SSTI) | Podatność, w której dane od użytkownika trafiają do szablonu renderowanego po stronie serwera (Twig, Jinja2, Smarty) jako kod szablonu, a nie jako tekst — zwykle kończy się wykonaniem kodu na serwerze (RCE). W WordPressie przykładem jest WPML (CVE-2024-6386): shortcode renderowany przez Twig pozwalał autorowi z rolą Contributor wykonać kod na serwerze. |
| Stored XSS | stored XSS | Odmiana XSS, w której złośliwy skrypt zostaje zapisany po stronie serwera (np. w komentarzu, nazwie pliku lub polu profilu) i uruchamia się u każdego, kto otworzy zainfekowaną stronę. |
TAB. 5