CVE-2025-12898: Nieautoryzowany dostęp do klucza API w wtyczce Pretty Google Calendar dla WordPress

Co wiadomo

Wtyczka Pretty Google Calendar dla WordPress do wersji 2.0.0 włącznie posiada lukę umożliwiającą nieautoryzowany dostęp do danych poprzez brak sprawdzenia uprawnień w funkcji pgcal_ajax_handler(). Atakujący bez uwierzytelnienia mogą uzyskać klucz API Google skonfigurowany w ustawieniach wtyczki.

Wpływ biznesowy

Luka pozwala na wyciek klucza API Google, co może prowadzić do nadużyć związanych z wykorzystaniem usług Google powiązanych z tym kluczem. Może to skutkować nieautoryzowanym dostępem do danych lub zwiększonymi kosztami usług. Operatorzy stron opartych na WordPress powinni traktować tę lukę jako średniego ryzyka i odpowiednio ją zaadresować, aby chronić swoje zasoby.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Pretty Google Calendar do najnowszej wersji udostępnionej przez producenta, która usuwa tę lukę. W przypadku braku dostępnej aktualizacji, należy ograniczyć dostęp do funkcji AJAX wtyczki, przeglądać logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również zweryfikować i zresetować klucz API Google, jeśli istnieje podejrzenie jego wycieku.

Źródła

• NVD
• Reference
• Reference
• Reference