ARK. 1Słownik pojęćPodatności i klasy błędów

XXE

Podatność parsera XML, który przetwarza zewnętrzne encje zadeklarowane w dokumencie — atakujący może w ten sposób odczytać pliki z serwera (np. wp-config.php) albo wykonać SSRF. W WordPressie 5.6–5.7 na PHP 8 autor mógł przez spreparowany plik .wav w Bibliotece mediów wywołać XXE (CVE-2021-29447, poprawione w 5.7.1).

TAB. 1Nazwabez tłumaczenia

Po angielsku	XML external entity (XXE)
Po polsku	XXE
Którą formą pisać	bez tłumaczenia Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle.
Inne formy	XML External Entity · XXE injection · wstrzyknięcie encji zewnętrznej XML
Odmiana	rodzaj żeński (ta podatność XXE) lub męski (ten atak XXE); skrót nieodmieniany

TAB. 2Jak to nazywająprasa vs urząd

Prasa branżowa	sekurak: „Podatności związane z XXE (XML eXternal Entity) ostatnimi czasy zdobywają coraz większą „popularność””.

TAB. 3Źródła2

Forma	Cytat	Skąd
EN	„Podatności związane z XXE (XML eXternal Entity) ostatnimi czasy zdobywają coraz większą „popularność” w aplikacjach internetowych.”	sekurak.pl
EN	„WordPress 5.6-5.7 - Authenticated XXE Within the Media Library Affecting PHP 8”	wpscan.com

TAB. 4Obok w tej dziedzinie6

wgranie dowolnego pliku (arbitrary file upload)	arbitrary file upload	Podatność, w której aplikacja przyjmuje plik bez poprawnej weryfikacji typu i zawartości, pozwalając umieścić na serwerze skrypt wykonywalny.
wstrzyknięcie poleceń (command injection)	command injection	Podatność, w której dane od użytkownika trafiają do polecenia powłoki systemu operacyjnego, pozwalając uruchomić na serwerze komendy atakującego.
XSS (Cross-Site Scripting)	cross-site scripting (XSS)	Podatność pozwalająca umieścić w stronie skrypt wykonywany w przeglądarce innego użytkownika w kontekście zaufanej witryny, np. w celu kradzieży sesji.
zarządzanie podatnościami	vulnerability management	Ciągły proces wykrywania, oceny, priorytetyzacji i usuwania podatności w używanym oprogramowaniu i infrastrukturze, z kontrolą, czy poprawka zadziałała. Dla strony WordPress to: spis wtyczek i motywów z wersjami, śledzenie baz podatności (Wordfence, Patchstack, WPScan), szybkie aktualizacje lub wirtualne łatki i usuwanie nieużywanych komponentów.
zaszyte w kodzie hasło	hardcoded credentials	Hasła, klucze lub tokeny umieszczone na stałe w kodzie albo konfiguracji produktu, przez co są identyczne u wszystkich użytkowników i nie da się ich zmienić.
zdalne wykonanie kodu (RCE)	remote code execution (RCE)	Podatność pozwalająca atakującemu uruchomić własny kod na zdalnym systemie — na serwerze albo na komputerze użytkownika (np. przez spreparowany plik otwarty w podatnej aplikacji) — bez wcześniejszego dostępu do tej maszyny. Najcięższy skutek, zwykle równoznaczny z przejęciem systemu.

TAB. 5

Wpisy o tym pojęciu

15.10.2026

Luka XXE w narzędziu do modelowania systemów bez poprawki, producent nie odpowiada

Cały słownik →