事件经过
AI Alt Text Generator插件的AJAX处理器缺乏适当的能力/所有权检查，因此未认证行为者可以覆盖任意附件的替代文本（以及可选的标题/说明/摘要/内容）。CVSS 5.3，发布于2026-11-03；CISA SSVC指出利用情况为“无”，但自动化可能性为“是”。
影响分析
AI图像自动化插件是一个低价值但真实的攻击面：WordPress AI插件上的未认证内容完整性绕过允许攻击者篡改整个媒体库中的元数据/SEO/无障碍文本。影响范围较小，因此被作为精确编目的CVE保留，而非高优先级事项。
攻击途径
授权绕过（CWE-862）——插件未验证行为者是否被授权操作目标附件。未认证攻击者（仅需贡献者级别账户从页面源码提取nonce）可以修改任何用户媒体附件的AI生成的替代文本/说明/标题/描述。
受影响系统
AI Alt Text Generator WordPress插件 <= 2.7.0 (migkapa)
缓解措施
将插件更新至已修复的版本。Wordfence公告：https://www.wordfence.com/threat-intel/vulnerabilities/id/fa4741fa-0871-4f23-b164-94f5e94f5712