Alt Text Generator AI – Auto Generate & Bulk Update Alt Texts For Images <= 1.8.3 - Missing Authorization to Authenticated (Subscriber+) API Key Deletion

Resumen ejecutivo

La vulnerabilidad identificada en el plugin Alt Text Generator AI permite la eliminación no autorizada de claves API para usuarios autenticados con rol de suscriptor o superior. Esta falla, con una severidad media, podría comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

El fallo se origina en la falta de autorización adecuada para la eliminación de claves API. Esto significa que un usuario con permisos insuficientes podría ejecutar acciones que deberían estar restringidas, afectando la integridad de la configuración del plugin.

Impacto potencial

El impacto potencial incluye la posibilidad de que usuarios no autorizados eliminen claves API, lo que podría interrumpir servicios relacionados con la generación de texto alternativo para imágenes. Esto puede afectar la accesibilidad y SEO del sitio web, así como provocar pérdidas económicas si se interrumpe la funcionalidad del plugin.

Vector de explotación

La explotación de esta vulnerabilidad podría realizarse mediante la manipulación de solicitudes API por parte de un usuario autenticado que no debería tener permisos para eliminar claves. Esto podría llevarse a cabo sin necesidad de un exploit sofisticado, aprovechando la falta de controles de acceso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Alt Text Generator AI a la versión 1.8.4 o superior. Además, se sugiere revisar los permisos de usuario y aplicar buenas prácticas de gestión de roles en WordPress.

Señales de detección

Señales de riesgo pueden incluir intentos inusuales de eliminación de claves API desde cuentas de usuario con permisos de suscriptor o inferiores. Monitorizar los registros de acceso y las actividades del plugin puede ayudar a identificar comportamientos sospechosos.

Alcance afectado

Las versiones afectadas del plugin son todas aquellas anteriores a la 1.8.4. Es crucial que los administradores de WordPress verifiquen la versión instalada para asegurar que no están en riesgo.