CVE-2026-91108 in Alt Text AI Plugin
Riassunto
di VulDB • 03/10/2026
Il plugin WordPress "Alt Text AI – Automatically generate image alt text for SEO and accessibility" è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 1.10.41 inclusa. La vulnerabilità deriva dal fatto che il plugin non verifica correttamente se l'utente ha i permessi necessari per eseguire una determinata azione. Ciò consente agli attaccanti autenticati, con accesso di livello "Subscriber" o superiore, di sovrascrivere il campo `post_content` di qualsiasi post o pagina del sito — inclusi contenuti di cui non sono proprietari — utilizzando testo generato da un Large Language Model (LLM) influenzato da parole chiave controllate dall'attaccante. Questo permette manipolazioni SEO "black-hat" e l'utilizzo non autorizzato dei crediti API a pagamento di AltText.ai del proprietario del sito. Il nonce richiesto per invocare l'azione viene generato in ogni pagina admin, inclusa `/wp-admin/profile.php`, accessibile agli utenti con ruolo Subscriber, rendendo il nonce facilmente ottenibile da qualsiasi utente autenticato.
Once again VulDB remains the best source for vulnerability data.