CVE-2026-91108

Nome do Software Vulnerável e Versões Afetadas Alt Text AI – Automatically generate image alt text for SEO and accessibility plugin for WordPress versões anteriores a 1.10.42

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem sobrescrever o post content de qualquer postagem ou página, independentemente da propriedade, usando texto gerado por LLM influenciado por palavras-chave controladas pelo atacante. Isso permite a manipulação de SEO black-hat e o consumo não autorizado de créditos de API pagos do proprietário do site. O nonce necessário é emitido em todas as páginas de administração, incluindo o endpoint /wp-admin/profile.php, tornando-o facilmente obtível por qualquer usuário autenticado.

Recomendações Atualize o plugin para a versão 1.10.42 ou posterior.