ARK. 1Słownik pojęćPodatności i klasy błędów

Stored XSS

Odmiana XSS, w której złośliwy skrypt zostaje zapisany po stronie serwera (np. w komentarzu, nazwie pliku lub polu profilu) i uruchamia się u każdego, kto otworzy zainfekowaną stronę.

TAB. 1Nazwapo angielsku

Po angielsku	stored XSS
Którą formą pisać	po angielsku Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim.
Inne formy	trwały XSS · przechowywany XSS
Odmiana	nieodmienne; używaj wzorca „atak typu Stored XSS", „podatność Stored XSS" (tak pisze cert.pl)

TAB. 2Jak to nazywająprasa vs urząd

Prasa branżowa	sekurak: „Persistent (inna spotykana nazwa: stored) XSS"; niebezpiecznik: „atak typu persistent XSS"
Urząd i ustawa	cert.pl: „podatny na atak typu Stored XSS" (konsekwentnie „Stored", nie „Persistent")

TAB. 3Źródła4

Forma	Cytat	Skąd
EN	„R-SOFT DMS jest podatny na atak typu Stored XSS w funkcjonalności przesyłania plików. Uwierzytelniony atakujący może wstrzyknąć dowolny kod HTML i JS do nazwy przesyłanego pliku…”	cert.pl
EN	„UBB.threads jest podatny na atak typu Stored XSS poprzez posty oraz pola profili użytkowników.”	cert.pl
EN	„Persistent (inna spotykana nazwa: stored) XSS”	sekurak.pl
EN	„zademonstrował na swoim profilu atak typu persistent XSS”	niebezpiecznik.pl

TAB. 4Obok w tej dziedzinie6

SQL injection	SQL injection	Podatność pozwalająca wpleść własne polecenia w zapytanie do bazy danych i odczytać, zmienić lub usunąć dane, do których atakujący nie ma prawa.
SSRF (Server-Side Request Forgery)	server-side request forgery (SSRF)	Podatność, w której atakujący zmusza serwer aplikacji do wysłania żądania pod wskazany przez siebie adres, sięgając do zasobów wewnętrznych niedostępnych z internetu.
SSTI	server-side template injection (SSTI)	Podatność, w której dane od użytkownika trafiają do szablonu renderowanego po stronie serwera (Twig, Jinja2, Smarty) jako kod szablonu, a nie jako tekst — zwykle kończy się wykonaniem kodu na serwerze (RCE). W WordPressie przykładem jest WPML (CVE-2024-6386): shortcode renderowany przez Twig pozwalał autorowi z rolą Contributor wykonać kod na serwerze.
subdomain takeover	subdomain takeover	Przejęcie subdomeny, której rekord DNS (zwykle CNAME) wskazuje na usługę już niewykorzystywaną — skasowaną stronę w chmurze, GitHub Pages, stary hosting — przez zarejestrowanie tej usługi na siebie. Typowy scenariusz przy WordPressie: po likwidacji środowiska testowego (staging.firma.pl) zostaje wpis DNS, a ktoś podpina pod niego własną stronę z phishingiem.
ujawnianie wersji	version disclosure / version fingerprinting	Zdradzanie przez stronę, jakiej wersji WordPressa, wtyczek i motywu używa: plik readme.html, metatag generator, kanały RSS, parametr ?ver= przy plikach CSS i JS. Ułatwia to botom dobranie exploita do znanej luki; ukrycie wersji jest tylko dodatkiem do aktualizacji.
ujawnienie informacji	information disclosure	Podatność, przez którą aplikacja udostępnia nieuprawnionym dane, których ujawniać nie powinna: dane osobowe, hasła i klucze API, ścieżki systemowe czy treść komunikatów błędów. Nazwa dotyczy BŁĘDU w aplikacji, a nie zdarzenia, w którym dane faktycznie wypłynęły.

TAB. 5

Wpisy o tym pojęciu

29.10.2026	Dwie luki Stored XSS w Zimbra Collaboration, poprawka w wersji 10.1.21
27.10.2026	KGS Software tia Viewer z luką Stored XSS CVE-2026-105987, poprawka w wersji 1.2.8
18.09.2026	WordPress 7.1.1 łata 11 luk, w tym stored XSS w komentarzach (CVE-2026-93485)

Cały słownik →