ARK. 1Słownik pojęćPodatności i klasy błędów
XSS (Cross-Site Scripting)
Podatność pozwalająca umieścić w stronie skrypt wykonywany w przeglądarce innego użytkownika w kontekście zaufanej witryny, np. w celu kradzieży sesji.
TAB. 1Nazwabez tłumaczenia
| Po angielsku | cross-site scripting (XSS) |
|---|---|
| Po polsku | XSS (Cross-Site Scripting) |
| Którą formą pisać | bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle. |
| Inne formy | skrypty międzyserwisowe |
| Odmiana | ten XSS, tego XSS-a, o XSS-ie; l.mn. XSS-y, XSS-ów (łącznik, BEZ apostrofu — skrót kończy się na wymawianą spółgłoskę „es"); pełna nazwa nieodmienna: „podatność typu Cross-Site Scripting" |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | „XSS", „Cross-Site Scripting", „błędy XSS", „XSS-y" (sekurak — bez polskiej nazwy w całym artykule wyjaśniającym); gloss „skrypty międzyserwisowe" (niebezpiecznik, przy OWASP Top 10) |
|---|---|
| Urząd i ustawa | cert.pl: „podatne na atak typu Reflected Cross-Site Scripting (XSS)" — nazwa angielska w polskiej składni |
TAB. 3Źródła5
| Forma | Cytat | Skąd |
|---|---|---|
| EN | „Błędy XSS dzielimy na trzy kategorie:” | sekurak.pl |
| EN | „Atak polega na wstrzyknięciu do przeglądarki ofiary fragmentu javascript…” | sekurak.pl |
| PL (EN) | „Cross Site Scripting (XSS): "Skrypty międzyserwisowe"” | niebezpiecznik.pl |
| EN | „Cross-site Scripting (XSS)” | niebezpiecznik.pl |
| EN | „Oprogramowanie Wirtualna Uczelnia jest podatne na atak typu Reflected Cross-Site Scripting (XSS)” | cert.pl |
TAB. 4Obok w tej dziedzinie6
| web cache poisoning | web cache poisoning | Atak, w którym napastnik zmusza pamięć podręczną (CDN, reverse proxy, wtyczkę cache) do zapisania spreparowanej odpowiedzi, a ta jest potem serwowana wszystkim odwiedzającym. W WordPressie ryzyko rośnie, gdy wtyczka cache lub CDN nie uwzględnia w kluczu nagłówków, od których zależy treść strony (np. X-Forwarded-Host). |
| wgranie dowolnego pliku (arbitrary file upload) | arbitrary file upload | Podatność, w której aplikacja przyjmuje plik bez poprawnej weryfikacji typu i zawartości, pozwalając umieścić na serwerze skrypt wykonywalny. |
| wstrzyknięcie poleceń (command injection) | command injection | Podatność, w której dane od użytkownika trafiają do polecenia powłoki systemu operacyjnego, pozwalając uruchomić na serwerze komendy atakującego. |
| XXE | XML external entity (XXE) | Podatność parsera XML, który przetwarza zewnętrzne encje zadeklarowane w dokumencie — atakujący może w ten sposób odczytać pliki z serwera (np. wp-config.php) albo wykonać SSRF. W WordPressie 5.6–5.7 na PHP 8 autor mógł przez spreparowany plik .wav w Bibliotece mediów wywołać XXE (CVE-2021-29447, poprawione w 5.7.1). |
| zarządzanie podatnościami | vulnerability management | Ciągły proces wykrywania, oceny, priorytetyzacji i usuwania podatności w używanym oprogramowaniu i infrastrukturze, z kontrolą, czy poprawka zadziałała. Dla strony WordPress to: spis wtyczek i motywów z wersjami, śledzenie baz podatności (Wordfence, Patchstack, WPScan), szybkie aktualizacje lub wirtualne łatki i usuwanie nieużywanych komponentów. |
| zaszyte w kodzie hasło | hardcoded credentials | Hasła, klucze lub tokeny umieszczone na stałe w kodzie albo konfiguracji produktu, przez co są identyczne u wszystkich użytkowników i nie da się ich zmienić. |
TAB. 5