Subida Arbitraria de Archivos y RCE No Autenticado en Embed HTML5 Game

El plugin carece de controles de autenticación para la carga de archivos y no valida la extensión ni el tipo de archivo recibido. Cualquier atacante no autenticado puede enviar archivos PHP maliciosos a directorios públicos del servidor web y ejecutarlos directamente vía HTTP, logrando la ejecución remota de comandos (RCE) instantánea.

Desinstalar o desactivar inmediatamente el plugin Embed HTML5 Game.

Auditar el directorio de subidas (/wp-content/uploads/) en busca de archivos .php o con doble extensión no autorizados.

Bloquear la ejecución de scripts PHP dentro de la carpeta /wp-content/uploads/ mediante reglas en .htaccess o en la configuración de Nginx.