ARK. 1Słownik pojęćPodatności i klasy błędów

SSRF (Server-Side Request Forgery)

Podatność, w której atakujący zmusza serwer aplikacji do wysłania żądania pod wskazany przez siebie adres, sięgając do zasobów wewnętrznych niedostępnych z internetu.

TAB. 1Nazwabez tłumaczenia

Po angielsku	server-side request forgery (SSRF)
Po polsku	SSRF (Server-Side Request Forgery)
Którą formą pisać	bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle.
Inne formy	fałszowanie żądań po stronie serwera · zmuszenie serwera do wykonania żądania
Odmiana	ten SSRF, tego SSRF-a, o SSRF-ie (bez apostrofu); wzorzec: „podatność SSRF", „atak typu SSRF"

TAB. 2Jak to nazywająprasa vs urząd

Prasa branżowa	sekurak: „Podatność Server-Side Request Forgery (SSRF)…", dalej sam skrót SSRF; niebezpiecznik prowadzi tag „ssrf" (forma angielska), ale nie ma artykułu omawiającego termin

TAB. 3Źródła4

Forma	Cytat	Skąd
EN	„Podatność Server-Side Request Forgery (SSRF) pozwala… na wykonywanie skanowania lub pobierania zasobów z sieci lokalnej.”	sekurak.pl
EN	„Server-Side Request Forgery – czyli zmuszenie serwera do zainicjowania pewnej komunikacji sieciowej.”	sekurak.pl
EN	„warto zastanowić się, czy nie występuje tutaj SSRF”	sekurak.pl
EN	„tag „SSRF" w artykule Memdump #007; brak artykułu omawiającego technikę”	niebezpiecznik.pl

TAB. 4Obok w tej dziedzinie6

Reflected XSS	reflected XSS	Odmiana XSS, w której skrypt przekazany w żądaniu (najczęściej w adresie URL) jest natychmiast odsyłany w odpowiedzi i wykonuje się tylko u ofiary, która kliknęła spreparowany link.
skoordynowane ujawnianie podatności	coordinated vulnerability disclosure (CVD)	Praktyka, w której badacz najpierw zgłasza podatność producentowi (lub zespołowi CERT jako stronie zaufanej), a szczegóły publikuje dopiero po wydaniu poprawki lub po upływie ustalonego terminu — CERT Polska publikuje wpisy CVE po 90 dniach od przekazania szczegółów producentowi.
SQL injection	SQL injection	Podatność pozwalająca wpleść własne polecenia w zapytanie do bazy danych i odczytać, zmienić lub usunąć dane, do których atakujący nie ma prawa.
Stored XSS	stored XSS	Odmiana XSS, w której złośliwy skrypt zostaje zapisany po stronie serwera (np. w komentarzu, nazwie pliku lub polu profilu) i uruchamia się u każdego, kto otworzy zainfekowaną stronę.
ujawnienie informacji	information disclosure	Podatność, przez którą aplikacja udostępnia nieuprawnionym dane, których ujawniać nie powinna: dane osobowe, hasła i klucze API, ścieżki systemowe czy treść komunikatów błędów. Nazwa dotyczy BŁĘDU w aplikacji, a nie zdarzenia, w którym dane faktycznie wypłynęły.
usunięcie dowolnego pliku	arbitrary file deletion	Podatność pozwalająca skasować wskazany przez atakującego plik na serwerze, co bywa drogą do przejęcia witryny (np. przez usunięcie pliku konfiguracyjnego).

Cały słownik →