ARK. 1Słownik pojęćPodatności i klasy błędów
wgranie dowolnego pliku (arbitrary file upload)
Podatność, w której aplikacja przyjmuje plik bez poprawnej weryfikacji typu i zawartości, pozwalając umieścić na serwerze skrypt wykonywalny.
TAB. 1Nazwaobie formy
| Po angielsku | arbitrary file upload |
|---|---|
| Po polsku | wgranie dowolnego pliku (arbitrary file upload) |
| Którą formą pisać | obie formy Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski. |
| Inne formy | nieograniczone wgrywanie plików · przesyłanie plików · upload plików |
| Odmiana | to wgranie dowolnego pliku, tego wgrania; zapożyczenie odmienia się w pełni: ten upload, po uploadzie, plik zuploadowany (sekurak, bez apostrofu) — w tekstach serwisu preferuj „wgrać / wgrywanie plików" |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | sekurak: „Upload plików…", „po uploadzie", „Pliki zuploadowane przez użytkowników", obok rodzimego „użytkownik wgrywa plik" |
|---|---|
| Urząd i ustawa | cert.pl opisowo po polsku: „utworzenie dowolnych plików na serwerze", „w funkcjonalności przesyłania plików" |
TAB. 3Źródła5
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „pozwala… na utworzenie dowolnych plików na serwerze” | moje.cert.pl |
| PL | „R-SOFT DMS jest podatny na atak typu Stored XSS w funkcjonalności przesyłania plików.” | cert.pl |
| EN | „Upload plików zalicza się do najczęściej występujących funkcjonalności w webaplikacjach.” | sekurak.pl |
| PL | „Użytkownik wgrywa plik o nazwie hack.php” | sekurak.pl |
| EN | „Unrestricted Upload of File with Dangerous Type” | niebezpiecznik.pl |
TAB. 4Obok w tej dziedzinie6
| usunięcie dowolnego pliku | arbitrary file deletion | Podatność pozwalająca skasować wskazany przez atakującego plik na serwerze, co bywa drogą do przejęcia witryny (np. przez usunięcie pliku konfiguracyjnego). |
| Vulnerable and Outdated Components | vulnerable and outdated components (OWASP) | Kategoria OWASP Top 10 (A06:2021): używanie bibliotek, frameworków, wtyczek i innych komponentów ze znanymi podatnościami, niewspieranych albo nieaktualizowanych. Dla WordPressa to główna przyczyna włamań — przestarzałe wtyczki, motywy, rdzeń i wersja PHP. W OWASP Top 10:2025 kategoria została rozszerzona do „Software Supply Chain Failures” (A03:2025). |
| web cache poisoning | web cache poisoning | Atak, w którym napastnik zmusza pamięć podręczną (CDN, reverse proxy, wtyczkę cache) do zapisania spreparowanej odpowiedzi, a ta jest potem serwowana wszystkim odwiedzającym. W WordPressie ryzyko rośnie, gdy wtyczka cache lub CDN nie uwzględnia w kluczu nagłówków, od których zależy treść strony (np. X-Forwarded-Host). |
| wstrzyknięcie poleceń (command injection) | command injection | Podatność, w której dane od użytkownika trafiają do polecenia powłoki systemu operacyjnego, pozwalając uruchomić na serwerze komendy atakującego. |
| XSS (Cross-Site Scripting) | cross-site scripting (XSS) | Podatność pozwalająca umieścić w stronie skrypt wykonywany w przeglądarce innego użytkownika w kontekście zaufanej witryny, np. w celu kradzieży sesji. |
| XXE | XML external entity (XXE) | Podatność parsera XML, który przetwarza zewnętrzne encje zadeklarowane w dokumencie — atakujący może w ten sposób odczytać pliki z serwera (np. wp-config.php) albo wykonać SSRF. W WordPressie 5.6–5.7 na PHP 8 autor mógł przez spreparowany plik .wav w Bibliotece mediów wywołać XXE (CVE-2021-29447, poprawione w 5.7.1). |
TAB. 5