WordPressプラグイン「AI Alt Text Generator」に権限確認不備の脆弱性

CVSS 5.3 MEDIUM

対象	プラグイン AI Alt Text Generator 有効インストール約 2,000 件
影響バージョン	2.7.0 以下
修正版	2.7.1
CVE	-
種類	認証バイパス（Missing Authorization）
公表	2026年10月27日　当サイト掲載: 2026年11月2日 12:19

何が起きるか

バージョン2.7.0以前では、権限のないユーザーが他人のアップロード画像の代替テキストを書き換えられる恐れがあります。設定によってはタイトル・キャプション・説明文も改ざんされる可能性があります。

想定される被害と条件

メディアライブラリ内の画像の代替テキスト（alt属性）が無断で書き換えられる（悪用には寄稿者以上のアカウントが実質的に必要）
プラグインのタイトル・キャプション・説明の自動設定オプションが有効な場合、メディアのタイトル・キャプション・説明文も改ざんされる
改ざんされた代替テキストや説明文に不適切な文言・スパムリンクが含まれ、サイトの信頼性やSEOが損なわれる
代替テキストが不正確になることで、視覚障害者向けのアクセシビリティが低下する

今日やること

AI Alt Text Generatorを2.7.1以上に更新し、すぐ更新できない場合はプラグインの停止・削除を検討してください。

すぐに更新できない場合

更新できるまでプラグインを無効化してください。無効化できない場合は、タイトル・キャプション・説明の自動設定オプションをオフにし、不要な寄稿者以上のアカウントを削除・停止してください。

更新後に確認すること

管理画面「メディア」→「ライブラリ」で、画像の代替テキスト・タイトル・キャプション・説明に身に覚えのない変更や不審な文言・リンクがないか確認する
管理画面「ユーザー」で、見覚えのない寄稿者以上のアカウントがないか確認し、不要なものは削除する
画像を使用している主要ページの表示を確認し、キャプションなどに不審な内容が出ていないか確認する
可能であればアクセスログでadmin-ajax.phpへの不審な大量アクセスがないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

AI Alt Text Generator の現在の情報（WordPress.org、2026-11-02 取得）

最新版	2.7.2 修正版を含む
対応 WordPress	4.6 以上（検証済み 7.1.4）
最終更新	2026-10-26 10:11pm GMT
有効インストール	2,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The AI Alt Text Generator plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 2.7.0. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to modify the alt text, and optionally the title, caption, and description of arbitrary attachments owned by other users. Exploiting this vulnerability requires a Contributor-level account to retrieve the nonce from the page source of post.php, post-new.php, or upload.php; additionally, overwriting post_title, post_excerpt, and post_content requires the plugin’s set_title, set_caption, or set_description options to be enabled.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/fa4741fa-0871-4f23-b164-94f5e94f5712?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。