Die Schwachstelle betrifft zwei WordPress-Plugins, die Besuchern das Hochladen von Dateien bzw. das Einreichen von Beiträgen über das Frontend ermöglichen. Beide stellen AJAX-Aktionen für den Datei-Upload bereit, prüfen dabei aber den Typ der übermittelten Datei nicht. Dadurch lässt sich die Beschränkung auf harmlose Dateiformate umgehen: Ein Angreifer kann beliebige Dateien hochladen, auch solche mit ausführbarem Skriptcode. Da die Upload-Funktionen ohne vorherige Anmeldung erreichbar sind, genügt der bloße Netzzugriff auf die betroffene Website – weder Zugangsdaten noch eine Interaktion eines Nutzers sind erforderlich. Gelingt es, eine Skriptdatei auf dem Server abzulegen und anschließend aufzurufen, kann daraus die Ausführung von beliebigem Code auf dem Webserver folgen, was praktisch der Übernahme der Website gleichkommt. Betroffen sind alle WordPress-Installationen, die eines dieser Plugins in einer verwundbaren Fassung einsetzen.