ARK. 1Słownik pojęćPodatności i klasy błędów
SSTI
Podatność, w której dane od użytkownika trafiają do szablonu renderowanego po stronie serwera (Twig, Jinja2, Smarty) jako kod szablonu, a nie jako tekst — zwykle kończy się wykonaniem kodu na serwerze (RCE). W WordPressie przykładem jest WPML (CVE-2024-6386): shortcode renderowany przez Twig pozwalał autorowi z rolą Contributor wykonać kod na serwerze.
TAB. 1Nazwapo angielsku
| Po angielsku | server-side template injection (SSTI) |
|---|---|
| Po polsku | SSTI |
| Którą formą pisać | po angielsku Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim. |
| Inne formy | Server-Side Template Injection · wstrzyknięcie szablonu po stronie serwera · wstrzyknięcie do szablonu |
| Odmiana | rodzaj żeński (ta podatność SSTI) lub męski (ten atak SSTI); skrót nieodmieniany |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | sekurak używa formy angielskiej ze skrótem: „O klasie podatności Server-Side Template Injections (SSTI) zrobiło się głośno”. |
|---|
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| EN | „O klasie podatności Server-Side Template Injections (SSTI) zrobiło się głośno dopiero w ostatnim czasie.” | sekurak.pl |
| EN | „w większości przypadków rezultatem wykorzystania podatności jest wykonanie dowolnego kodu na maszynie ofiary (ang. RCE – Remote Code Execution )” | sekurak.pl |
| EN | „WordPress Multilingual Plugin (WPML) CMS Server-Side Template Injection Vulnerability (CVE-2024-6386)” | threatprotect.qualys.com |
TAB. 4Obok w tej dziedzinie6
| skoordynowane ujawnianie podatności | coordinated vulnerability disclosure (CVD) | Praktyka, w której badacz najpierw zgłasza podatność producentowi (lub zespołowi CERT jako stronie zaufanej), a szczegóły publikuje dopiero po wydaniu poprawki lub po upływie ustalonego terminu — CERT Polska publikuje wpisy CVE po 90 dniach od przekazania szczegółów producentowi. |
| SQL injection | SQL injection | Podatność pozwalająca wpleść własne polecenia w zapytanie do bazy danych i odczytać, zmienić lub usunąć dane, do których atakujący nie ma prawa. |
| SSRF (Server-Side Request Forgery) | server-side request forgery (SSRF) | Podatność, w której atakujący zmusza serwer aplikacji do wysłania żądania pod wskazany przez siebie adres, sięgając do zasobów wewnętrznych niedostępnych z internetu. |
| Stored XSS | stored XSS | Odmiana XSS, w której złośliwy skrypt zostaje zapisany po stronie serwera (np. w komentarzu, nazwie pliku lub polu profilu) i uruchamia się u każdego, kto otworzy zainfekowaną stronę. |
| subdomain takeover | subdomain takeover | Przejęcie subdomeny, której rekord DNS (zwykle CNAME) wskazuje na usługę już niewykorzystywaną — skasowaną stronę w chmurze, GitHub Pages, stary hosting — przez zarejestrowanie tej usługi na siebie. Typowy scenariusz przy WordPressie: po likwidacji środowiska testowego (staging.firma.pl) zostaje wpis DNS, a ktoś podpina pod niego własną stronę z phishingiem. |
| ujawnianie wersji | version disclosure / version fingerprinting | Zdradzanie przez stronę, jakiej wersji WordPressa, wtyczek i motywu używa: plik readme.html, metatag generator, kanały RSS, parametr ?ver= przy plikach CSS i JS. Ułatwia to botom dobranie exploita do znanej luki; ukrycie wersji jest tylko dodatkiem do aktualizacji. |