ARK. 1Słownik pojęćPodatności i klasy błędów
wstrzyknięcie poleceń (command injection)
Podatność, w której dane od użytkownika trafiają do polecenia powłoki systemu operacyjnego, pozwalając uruchomić na serwerze komendy atakującego.
TAB. 1Nazwaobie formy
| Po angielsku | command injection |
|---|---|
| Po polsku | wstrzyknięcie poleceń (command injection) |
| Którą formą pisać | obie formy Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski. |
| Inne formy | wstrzyknięcie komend powłoki · wstrzyknięcie poleceń systemowych |
| Odmiana | to wstrzyknięcie poleceń, tego wstrzyknięcia poleceń, o wstrzyknięciu poleceń; ta komenda / to polecenie; nazwa angielska nieodmienna: ten command injection, o command injection („podatny na OS Command Injection") |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | sekurak: „wstrzyknięcie poleceń (ang.: command injection)" — wzorzec polski z angielskim w nawiasie; niebezpiecznik (tłumaczenie listy CWE/SANS): „OS Command Injection" |
|---|---|
| Urząd i ustawa | cert.pl NIEJEDNOLITY w czasie: 2024 — etykieta polska („umożliwia wstrzyknięcie komend powłoki, które zostaną wykonane na serwerze"); 2026 — etykieta angielska jako nazwa klasy („podatny na OS Command Injection w funkcji `konwertujAction()`"), a polszczyzna tylko do opisu skutku |
TAB. 3Źródła5
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „umożliwia wstrzyknięcie komend powłoki, które zostaną wykonane na serwerze” | cert.pl |
| EN | „OS Command Injection w funkcji `konwertujAction()`. Konwerter dokumentów wykonuje polecenia powłoki z wykorzystaniem niezabezpieczonych ścieżek plików” | cert.pl |
| PL | „uwierzytelniony atakujący może wykonać dowolne polecenia systemowe” | cert.pl |
| PL (EN) | „pozwala na wstrzyknięcie poleceń (ang.: command injection)” | sekurak.pl |
| EN | „OS Command Injection” | niebezpiecznik.pl |
TAB. 4Obok w tej dziedzinie6
| Vulnerable and Outdated Components | vulnerable and outdated components (OWASP) | Kategoria OWASP Top 10 (A06:2021): używanie bibliotek, frameworków, wtyczek i innych komponentów ze znanymi podatnościami, niewspieranych albo nieaktualizowanych. Dla WordPressa to główna przyczyna włamań — przestarzałe wtyczki, motywy, rdzeń i wersja PHP. W OWASP Top 10:2025 kategoria została rozszerzona do „Software Supply Chain Failures” (A03:2025). |
| web cache poisoning | web cache poisoning | Atak, w którym napastnik zmusza pamięć podręczną (CDN, reverse proxy, wtyczkę cache) do zapisania spreparowanej odpowiedzi, a ta jest potem serwowana wszystkim odwiedzającym. W WordPressie ryzyko rośnie, gdy wtyczka cache lub CDN nie uwzględnia w kluczu nagłówków, od których zależy treść strony (np. X-Forwarded-Host). |
| wgranie dowolnego pliku (arbitrary file upload) | arbitrary file upload | Podatność, w której aplikacja przyjmuje plik bez poprawnej weryfikacji typu i zawartości, pozwalając umieścić na serwerze skrypt wykonywalny. |
| XSS (Cross-Site Scripting) | cross-site scripting (XSS) | Podatność pozwalająca umieścić w stronie skrypt wykonywany w przeglądarce innego użytkownika w kontekście zaufanej witryny, np. w celu kradzieży sesji. |
| XXE | XML external entity (XXE) | Podatność parsera XML, który przetwarza zewnętrzne encje zadeklarowane w dokumencie — atakujący może w ten sposób odczytać pliki z serwera (np. wp-config.php) albo wykonać SSRF. W WordPressie 5.6–5.7 na PHP 8 autor mógł przez spreparowany plik .wav w Bibliotece mediów wywołać XXE (CVE-2021-29447, poprawione w 5.7.1). |
| zarządzanie podatnościami | vulnerability management | Ciągły proces wykrywania, oceny, priorytetyzacji i usuwania podatności w używanym oprogramowaniu i infrastrukturze, z kontrolą, czy poprawka zadziałała. Dla strony WordPress to: spis wtyczek i motywów z wersjami, śledzenie baz podatności (Wordfence, Patchstack, WPScan), szybkie aktualizacje lub wirtualne łatki i usuwanie nieużywanych komponentów. |