CVE-2025-12898CVE-2025-12898是WordPress的Pretty Google Calendar插件中的一个安全漏洞。该插件在处理AJAX请求时存在权限验证缺陷，其pgcal_ajax_handler()函数缺少适当的能力检查（capability check），导致未经身份验证的远程攻击者可以调用该函数并获取管理员设置的Google API密钥。Google API密钥是敏感凭证，一旦泄露可导致攻击者以受害者的身份访问Google Calendar数据，造成数据泄露风险。由于该漏洞无需认证即可利用，且攻击复杂度低，对使用该插件的WordPress网站构成中等程度的安全威胁。建议网站管理员尽快更新至插件最新版本以修复此问题。
该漏洞源于Pretty Google Calendar插件的pgcal_ajax_handler() AJAX处理函数未进行权限验证。攻击者可通过向wp-admin/admin-ajax.php端点发送特制的AJAX请求，绕过身份验证机制直接调用该处理函数。函数实现中直接返回存储的Google API密钥等敏感配置信息，缺少current_user_can()等WordPress能力检查。攻击者构造请求参数如action=pgcal_ajax_handler即可触发漏洞，响应中包含明文API密钥。攻击过程无需任何凭证，可通过自动化工具批量扫描和利用此类漏洞站点。