ARK. 1Słownik pojęćPodatności i klasy błędów
ujawnianie wersji
Zdradzanie przez stronę, jakiej wersji WordPressa, wtyczek i motywu używa: plik readme.html, metatag generator, kanały RSS, parametr ?ver= przy plikach CSS i JS. Ułatwia to botom dobranie exploita do znanej luki; ukrycie wersji jest tylko dodatkiem do aktualizacji.
TAB. 1Nazwapo polsku
| Po angielsku | version disclosure / version fingerprinting |
|---|---|
| Po polsku | ujawnianie wersji |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | ujawnienie wersji WordPressa · ukrywanie wersji WordPress · fingerprinting wersji · rozpoznawanie wersji · version disclosure |
| Odmiana | ujawnianie (r.n.): ujawniania wersji; „WordPress ujawnia wersję”, „ukryć wersję WordPressa” |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | Sekurak: „WordPress ujawnia wykorzystywaną wersję w kilku miejscach”, „Ukrywanie wersji WordPress”; w ogólnym poradniku webaplikacji — problem „ujawniający wersję użytych w systemie komponentów”. |
|---|
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „WordPress ujawnia wykorzystywaną wersję w kilku miejscach: Plik readme.html w głównym katalogu aplikacji, Metatag generator w źródle strony, Kanały RSS” | sekurak.pl |
| PL | „Kolejnym częstym problemem – tym razem ujawniającym wersję użytych w systemie komponentów – jest odwołanie się do nieistniejącej strony” | sekurak.pl |
| EN | „/readme.html: WordPress version 3.4.1” | sekurak.pl |
TAB. 4Obok w tej dziedzinie6
| SSTI | server-side template injection (SSTI) | Podatność, w której dane od użytkownika trafiają do szablonu renderowanego po stronie serwera (Twig, Jinja2, Smarty) jako kod szablonu, a nie jako tekst — zwykle kończy się wykonaniem kodu na serwerze (RCE). W WordPressie przykładem jest WPML (CVE-2024-6386): shortcode renderowany przez Twig pozwalał autorowi z rolą Contributor wykonać kod na serwerze. |
| Stored XSS | stored XSS | Odmiana XSS, w której złośliwy skrypt zostaje zapisany po stronie serwera (np. w komentarzu, nazwie pliku lub polu profilu) i uruchamia się u każdego, kto otworzy zainfekowaną stronę. |
| subdomain takeover | subdomain takeover | Przejęcie subdomeny, której rekord DNS (zwykle CNAME) wskazuje na usługę już niewykorzystywaną — skasowaną stronę w chmurze, GitHub Pages, stary hosting — przez zarejestrowanie tej usługi na siebie. Typowy scenariusz przy WordPressie: po likwidacji środowiska testowego (staging.firma.pl) zostaje wpis DNS, a ktoś podpina pod niego własną stronę z phishingiem. |
| ujawnienie informacji | information disclosure | Podatność, przez którą aplikacja udostępnia nieuprawnionym dane, których ujawniać nie powinna: dane osobowe, hasła i klucze API, ścieżki systemowe czy treść komunikatów błędów. Nazwa dotyczy BŁĘDU w aplikacji, a nie zdarzenia, w którym dane faktycznie wypłynęły. |
| usunięcie dowolnego pliku | arbitrary file deletion | Podatność pozwalająca skasować wskazany przez atakującego plik na serwerze, co bywa drogą do przejęcia witryny (np. przez usunięcie pliku konfiguracyjnego). |
| Vulnerable and Outdated Components | vulnerable and outdated components (OWASP) | Kategoria OWASP Top 10 (A06:2021): używanie bibliotek, frameworków, wtyczek i innych komponentów ze znanymi podatnościami, niewspieranych albo nieaktualizowanych. Dla WordPressa to główna przyczyna włamań — przestarzałe wtyczki, motywy, rdzeń i wersja PHP. W OWASP Top 10:2025 kategoria została rozszerzona do „Software Supply Chain Failures” (A03:2025). |