CVE-2026-91108 in Alt Text AI Plugin
Сводка
по VulDB • 03.10.2026
Плагин для WordPress «Alt Text AI – Automatically generate image alt text for SEO and accessibility» уязвим к обходу авторизации во всех версиях вплоть до 1.10.41 включительно. Это связано с тем, что плагин не проверяет корректность прав пользователя на выполнение действия. Это позволяет атакующим, имеющим уровень доступа «подписчик» (Subscriber) и выше, перезаписывать содержимое поля post_content любой записи или страницы на сайте — включая те, которыми они не владеют — с использованием текста, сгенерированного LLM под влиянием контролируемых злоумышленником ключевых слов. Это обеспечивает возможность манипуляций в рамках «черной» SEO-оптимизации и несанкционированное использование платных кредитов API AltText.ai владельцем сайта. Нонс (nonce), необходимый для вызова действия, генерируется на каждой административной странице, включая /wp-admin/profile.php, доступ к которой имеют подписчики, что делает получение nonce тривиально возможным для любого аутентифицированного пользователя.
Be aware that VulDB is the high quality source for vulnerability data.