Il caricamento di un plugin è la procedura per aggiungere codice di plugin a un sito WordPress, spesso inviando un file ZIP tramite la bacheca di amministrazione. L'installazione dei plugin può aggiungere funzionalità legittime, ma il codice caricato può anche essere eseguito con i privilegi del sito. Per questo motivo, WordPress limita l'installazione dei plugin agli utenti con una capacità appropriata, come gli amministratori, e può applicare ulteriori controlli sui file e sulle richieste.
In un attacco, JavaScript dannoso che può agire tramite il browser di un amministratore autenticato potrebbe tentare di raggiungere la pagina di caricamento dei plugin e ottenere il token di sicurezza necessario per eseguire l'azione. Se la richiesta va a buon fine, un aggressore potrebbe installare e attivare un plugin contenente una backdoor PHP. Le misure di difesa includono limitare i privilegi di installazione dei plugin, proteggere le sessioni degli amministratori, controllare le modifiche inattese ai plugin e monitorare i file del sito e l'attività amministrativa.