Apa yang terjadi
Handler AJAX plugin AI Alt Text Generator tidak memiliki pemeriksaan kapabilitas/kepemilikan yang tepat, sehingga aktor yang tidak terautentikasi dapat menimpa teks alt (dan judul/kaption/kutipan/konten opsional) dari lampiran apa pun. CVSS 5.3, diterbitkan 2026-11-03; CISA SSVC mencatat eksploitasi 'tidak ada' tetapi dapat diotomatisasi 'ya'.
Mengapa penting
Plugin AI-image-automation adalah permukaan yang bernilai rendah tetapi nyata: bypass integritas konten yang tidak terautentikasi pada plugin AI WordPress memungkinkan penyerang merusak metadata/SEO/teks aksesibilitas di seluruh pustaka media. Radius ledakan kecil, sehingga tetap menjadi CVE yang dikatalogkan secara presisi daripada item dengan urgensi tinggi.
Vektor serangan
Bypass otorisasi (CWE-862) — plugin tidak memverifikasi bahwa aktor berwenang untuk lampiran target. Penyerang yang tidak terautentikasi (hanya dengan akun tingkat Kontributor untuk mengekstrak nonce dari sumber halaman) dapat mengubah teks alt/kaption/judul/deskripsi yang dihasilkan AI dari lampiran media pengguna mana pun.
Sistem yang terdampak
Plugin AI Alt Text Generator WordPress <= 2.7.0 (migkapa)
Mitigasi
Perbarui plugin ke versi yang sudah diperbaiki. Advisory Wordfence: https://www.wordfence.com/threat-intel/vulnerabilities/id/fa4741fa-0871-4f23-b164-94f5e94f5712