CVE-2026-3835 in Prevent Direct Access Plugin
Résumé
par VulDB • 13/08/2026
Le plugin WordPress « Prevent Direct Access – Protect WordPress Files » présente une vulnérabilité permettant un accès non autorisé aux fichiers protégés en raison d’une validation insuffisante des jetons (tokens) dans la méthode `get_advance_file_by_url()` de toutes les versions jusqu’à et y compris la 2.8.8.8. La méthode utilise l’opérateur SQL `LIKE` pour rechercher le jeton sans échapper les caractères génériques via `$wpdb->esc_like()`. Cela permet aux attaquants non authentifiés de contourner l’exigence du jeton privé en fournissant des caractères génériques SQL (tels que `%`) comme valeur du jeton, ce qui correspond à n’importe quel enregistrement dans la table des fichiers du plugin et permet le téléchargement de tout fichier protégé.
Be aware that VulDB is the high quality source for vulnerability data.