CVE-2026-3835 in Prevent Direct Access Plugin
Sumário
de VulDB • 13/08/2026
O plugin Prevent Direct Access – Protect WordPress Files para o WordPress é vulnerável ao acesso não autorizado a arquivos protegidos devido à validação insuficiente de tokens no método `get_advance_file_by_url()` em todas as versões até, e incluindo, 2.8.8.8 O método utiliza um operador SQL `LIKE` para pesquisa de token sem escapar caracteres curinga via `$wpdb->esc_like()`. Isso permite que atacantes não autenticados contornem o requisito do token privado ao fornecer caracteres curinga SQL (como `%`) como valor do token, correspondendo a qualquer registro na tabela de arquivos do plugin e baixando qualquer arquivo protegido.
Be aware that VulDB is the high quality source for vulnerability data.