무슨 일이 있었나
AI Alt Text Generator 플러그인의 AJAX 핸들러에는 적절한 기능/소유권 검사가 없어, 비인증 사용자가 임의 첨부 파일의 대체 텍스트(및 선택적 제목/캡션/요약/내용)를 덮어쓸 수 있습니다. CVSS 5.3, 2026-11-03 게시; CISA SSVC는 익스플로잇 가능성 '없음'이지만 자동화 가능성 '예'로 기록.
왜 중요한가
AI 이미지 자동화 플러그인은 가치가 낮지만 실제 표면입니다: WordPress AI 플러그인에 대한 비인증 콘텐츠 무결성 우회는 공격자가 전체 미디어 라이브러리에서 메타데이터/SEO/접근성 텍스트를 조작할 수 있게 합니다. 폭발 범위가 작아 높은 긴급 항목보다는 정밀하게 카탈로그화된 CVE로 유지됩니다.
공격 경로
인증 우회 (CWE-862) — 플러그인은 대상 첨부 파일에 대한 사용자의 권한을 검증하지 않습니다. 비인증 공격자(페이지 소스에서 nonce를 추출하기 위해 Contributor 수준 계정만 필요)는 모든 사용자의 미디어 첨부 파일에 대한 AI 생성 대체 텍스트/캡션/제목/설명을 수정할 수 있습니다.
영향받는 시스템
AI Alt Text Generator WordPress 플러그인 <= 2.7.0 (migkapa)
완화 방안
플러그인을 수정된 버전으로 업데이트하세요. Wordfence 권고: https://www.wordfence.com/threat-intel/vulnerabilities/id/fa4741fa-0871-4f23-b164-94f5e94f5712