ARK. 1Słownik pojęćPodatności i klasy błędów

subdomain takeover

Przejęcie subdomeny, której rekord DNS (zwykle CNAME) wskazuje na usługę już niewykorzystywaną — skasowaną stronę w chmurze, GitHub Pages, stary hosting — przez zarejestrowanie tej usługi na siebie. Typowy scenariusz przy WordPressie: po likwidacji środowiska testowego (staging.firma.pl) zostaje wpis DNS, a ktoś podpina pod niego własną stronę z phishingiem.

TAB. 1Nazwapo angielsku

Po angielsku	subdomain takeover
Którą formą pisać	po angielsku Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim.
Inne formy	przejęcie subdomeny · przejmowanie subdomen
Odmiana	rodzaj męski (ten subdomain takeover) — nieodmieniany; opisowo: przejęcie subdomeny

TAB. 2Jak to nazywająprasa vs urząd

Prasa branżowa	sekurak używa formy angielskiej (tag „subdomain takeover”, #vulnz), opisując: „Lokalizujemy poddomenę firmy X, która nie jest już obsługiwana”.

TAB. 3Źródła2

Forma	Cytat	Skąd
EN	„Zaczęło się od subdomain takeover, w wyniku czego można było hostować dowolny content z domeny: devrel.roblox.com.”	sekurak.pl
EN	„Ukradli Microsoftowi kilka domen. Ponoć można kraść dalej! #vulnz [subdomain takeover]”	sekurak.pl

TAB. 4Obok w tej dziedzinie6

SSRF (Server-Side Request Forgery)	server-side request forgery (SSRF)	Podatność, w której atakujący zmusza serwer aplikacji do wysłania żądania pod wskazany przez siebie adres, sięgając do zasobów wewnętrznych niedostępnych z internetu.
SSTI	server-side template injection (SSTI)	Podatność, w której dane od użytkownika trafiają do szablonu renderowanego po stronie serwera (Twig, Jinja2, Smarty) jako kod szablonu, a nie jako tekst — zwykle kończy się wykonaniem kodu na serwerze (RCE). W WordPressie przykładem jest WPML (CVE-2024-6386): shortcode renderowany przez Twig pozwalał autorowi z rolą Contributor wykonać kod na serwerze.
Stored XSS	stored XSS	Odmiana XSS, w której złośliwy skrypt zostaje zapisany po stronie serwera (np. w komentarzu, nazwie pliku lub polu profilu) i uruchamia się u każdego, kto otworzy zainfekowaną stronę.
ujawnianie wersji	version disclosure / version fingerprinting	Zdradzanie przez stronę, jakiej wersji WordPressa, wtyczek i motywu używa: plik readme.html, metatag generator, kanały RSS, parametr ?ver= przy plikach CSS i JS. Ułatwia to botom dobranie exploita do znanej luki; ukrycie wersji jest tylko dodatkiem do aktualizacji.
ujawnienie informacji	information disclosure	Podatność, przez którą aplikacja udostępnia nieuprawnionym dane, których ujawniać nie powinna: dane osobowe, hasła i klucze API, ścieżki systemowe czy treść komunikatów błędów. Nazwa dotyczy BŁĘDU w aplikacji, a nie zdarzenia, w którym dane faktycznie wypłynęły.
usunięcie dowolnego pliku	arbitrary file deletion	Podatność pozwalająca skasować wskazany przez atakującego plik na serwerze, co bywa drogą do przejęcia witryny (np. przez usunięcie pliku konfiguracyjnego).

Cały słownik →