插件不正确过滤的文件类型，允许上传以下格式的文件类型：

    t00ls.php.jpg

易受攻击的主机，将作为一个php文件，这些文件，允许上传并执行恶意文件。

在创建这个插件上传文件夹，代码利用uniqid添加一个唯一的字符串上传文件夹的名称，以便更好地隐藏它直接访问。

例如：

     / wp-content/uploads/feu_9fc12558ac71e6995808cfc590207e87 /

然而，很多../ wp-content/uploads允许直接访问，所以干脆找开始'feu_'找到你上传一个文件夹名称。

修补方法:更新到0.5.4.6即可
原漏洞地址：
http://www.exploit-db.com/exploits/20083/