AI Alt Text Generator · gerador de texto alternativo
Quem tem uma conta de Colaborador no site pode trocar o texto alternativo e, em algumas configurações, o título e a legenda de imagens enviadas por outras pessoas. Só preocupa sites que dão contas a pessoas de fora da equipe.
Você mesmo
- Atualizar o AI Alt Text Generator para a versão 2.7.1 ou mais recente.
- Revisar quem tem conta de Colaborador ou superior em Usuários.
Seu dev ou hospedagem
- Confirmar a versão com: wp plugin get ai-alt-text-generator --field=version.
Detalhes técnicos: O AI Alt Text Generator não verifica autorização ao gerar texto alternativo, permitindo alterar o alt text (e, opcionalmente, título, legenda e descrição) de anexos de outros usuários. Embora a falha seja classificada como sem login, na prática é preciso uma conta de Colaborador para obter o nonce no código da página; sobrescrever título, legenda ou descrição exige as opções set_title, set_caption ou set_description ativadas. Afeta as versões até a 2.7.0; a 2.7.1 adicionou a checagem de permissão. CVSS 5.3; sem registro de exploração ativa.