何が起きたか
AI Alt Text GeneratorプラグインのAJAXハンドラーには適切な機能/所有権チェックが欠如しているため、未認証のアクターが任意の添付ファイルの代替テキスト（およびオプションでタイトル/キャプション/抜粋/コンテンツ）を上書きできます。CVSS 5.3、公開日2026-11-03。CISA SSVCは悪用可能性を「なし」としているが、自動化は「可能」と注記。
なぜ重要か
AI画像自動化プラグインは低価値ながら現実的な攻撃面です。WordPressのAIプラグインに対する未認証のコンテンツ整合性バイパスにより、攻撃者はメディアライブラリ全体のメタデータ/SEO/アクセシビリティテキストを改ざんできます。爆発半径が小さいため、緊急性の高い項目ではなく、精密にカタログ化されたCVEとして扱われています。
攻撃経路
認証バイパス（CWE-862）— プラグインは、アクターが対象の添付ファイルに対して権限を持っているかを検証していません。未認証の攻撃者（ページソースからnonceを抽出するために貢献者レベルのアカウントのみ使用）は、任意のユーザーのメディア添付ファイルのAI生成代替テキスト/キャプション/タイトル/説明を変更できます。
影響を受けるシステム
AI Alt Text Generator WordPressプラグイン <= 2.7.0（migkapa）
緩和策
プラグインを修正版に更新してください。Wordfenceアドバイザリ：https://www.wordfence.com/threat-intel/vulnerabilities/id/fa4741fa-0871-4f23-b164-94f5e94f5712