Słownik pojęć: po angielsku, po polsku i której formy używać.

Dla każdego terminu zebraliśmy cytaty z polskich źródeł — niebezpiecznik, sekurak, zaufana trzecia strona, CERT Polska, ustawy — i z nich wyprowadziliśmy werdykt: czy polska nazwa faktycznie się przyjęła. Werdykt jest tu ważniejszy niż samo tłumaczenie.

TAB. 0Filtry12 z 368 haseł

Wszystkie dziedziny Strony WWW, WordPress i hosting 37 Podatności i klasy błędów 39 Ataki i socjotechnika 38 Złośliwe oprogramowanie 35 Sieć i infrastruktura obronna 39 SOC, wywiad o zagrożeniach i reagowanie 37 Kryptografia, tożsamość i uwierzytelnianie 39 Prawo, zgodność i ryzyko 42 Realia polskie: instytucje i oszustwa 11 Ludzie, role i higiena cyfrowa 36 Chmura, kontenery i łańcuch dostaw 4 Mobile, IoT i OT/ICS 7 Bezpieczeństwo AI i modeli językowych 4

Każdy werdykt po polsku 120 obie formy 76 po angielsku 105 bez tłumaczenia 67

TAB. 1Podatności i klasy błędów12 haseł

Hasło	Po angielsku	Używamy	Co znaczy
CSRF (Cross-Site Request Forgery)	cross-site request forgery (CSRF)	bez tłumaczenia	Atak zmuszający zalogowanego użytkownika do nieświadomego wysłania żądania zmieniającego stan konta lub witryny, gdy aplikacja nie weryfikuje pochodzenia żądania.
CVE	CVE	bez tłumaczenia	Publiczny identyfikator konkretnej ujawnionej podatności w formacie CVE-rok-numer, pozwalający jednoznacznie odwoływać się do niej w różnych systemach i biuletynach.
CVSS	CVSS	bez tłumaczenia	Standard punktowej oceny powagi podatności w skali 0–10, wyliczanej z metryk sposobu wykorzystania (m.in. wektor ataku, złożoność, wymagane uprawnienia) i skutków dla poufności, integralności i dostępności; służy do porównywania i priorytetyzacji luk.
CWE	CWE	bez tłumaczenia	Prowadzony przez MITRE katalog typów (klas) błędów w oprogramowaniu — np. CWE-79 dla XSS — nazywający PRZYCZYNĘ podatności, w odróżnieniu od CVE, który identyfikuje pojedynczy jej przypadek w konkretnym produkcie.
EPSS	EPSS	bez tłumaczenia	Utrzymywany przez FIRST.org model punktowy szacujący prawdopodobieństwo (0–1, podawane też w procentach, przeliczane codziennie), że dana podatność zostanie wykorzystana w atakach w ciągu najbliższych 30 dni — uzupełnienie CVSS, które ocenia wagę skutków udanej eksploatacji, a nie szansę, że do niej dojdzie.
IDOR (Insecure Direct Object Reference)	insecure direct object reference (IDOR)	bez tłumaczenia	Odmiana błędu kontroli dostępu, w której zmiana identyfikatora w żądaniu (np. numeru zamówienia albo parametru member_id) daje dostęp do cudzego rekordu, bo serwer nie sprawdza jego właściciela.
KEV	KEV (known exploited vulnerabilities)	bez tłumaczenia	Prowadzony przez amerykańską agencję CISA katalog podatności z potwierdzonymi przypadkami wykorzystania w realnych atakach. Dla amerykańskiej administracji federalnej wpis do KEV oznacza prawny obowiązek załatania w wyznaczonym terminie (dyrektywa BOD 22-01); dla wszystkich pozostałych to bardzo silna przesłanka priorytetu, a nie obowiązek.
LFI (Local File Inclusion)	local file inclusion (LFI)	bez tłumaczenia	Podatność pozwalająca wskazać aplikacji plik JUŻ OBECNY na serwerze, który zostanie wczytany lub wykonany przez interpreter, co prowadzi do ujawnienia konfiguracji, a często do wykonania kodu.
OWASP Top 10	OWASP Top 10	bez tłumaczenia	Aktualizowane co kilka lat zestawienie dziesięciu najpoważniejszych kategorii ryzyk w aplikacjach webowych, publikowane przez fundację OWASP i traktowane jako branżowy punkt odniesienia. Kategorie oznacza się kodami A01–A10 z rokiem edycji (np. A01:2025 Broken Access Control).
PoC (proof of concept)	proof of concept (PoC)	bez tłumaczenia	Minimalny, demonstracyjny przykład wykorzystania podatności, publikowany po to, by dowieść, że luka jest realna — bez pełnego uzbrojenia w złośliwy ładunek, który miałby ją zamienić w gotowe narzędzie ataku.
SSRF (Server-Side Request Forgery)	server-side request forgery (SSRF)	bez tłumaczenia	Podatność, w której atakujący zmusza serwer aplikacji do wysłania żądania pod wskazany przez siebie adres, sięgając do zasobów wewnętrznych niedostępnych z internetu.
XSS (Cross-Site Scripting)	cross-site scripting (XSS)	bez tłumaczenia	Podatność pozwalająca umieścić w stronie skrypt wykonywany w przeglądarce innego użytkownika w kontekście zaufanej witryny, np. w celu kradzieży sesji.

po polsku: Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie.
obie formy: Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski.
po angielsku: Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim.
bez tłumaczenia: Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle.
Hasło: Rekomendowana nazwa w tekście. Przy werdykcie „po angielsku” i „bez tłumaczenia” jest to forma angielska — bo tak właśnie ma brzmieć.
Co znaczy: Definicja skrócona do jednego wiersza. Pełna — razem z odmianą, synonimami i cytatami ze źródeł — jest na stronie hasła.