Tienduizenden WordPress-sites zijn door middel van een kritiek lek in een gebruikte plug-in voor het registreren van gebruikers over te nemen. De ontwikkelaar heeft een update uitgebracht, maar de meeste websites hebben die nog niet geïnstalleerd. De kwetsbaarheid bevindt zich in User Registration, een plug-in waarmee WordPress-sites de registratiepagina voor gebruikers kunnen aanpassen, alsmede profielpagina's voor gebruikers maken. Meer dan 60.000 WordPress-sites maken gebruik van de plug-in.

User Registration blijkt een hardcoded encryptiesleutel te gebruiken, die voor alle installaties van de plug-in hetzelfde is, en bepaalde bestandstypes bij het uploaden van profielafbeeldingen niet te controleren. Daardoor kan een aanvaller bijvoorbeeld malafide PHP-code als "profielafbeelding" uploaden en zo de website overnemen. De ontwikkelaar werd op 19 juni door onderzoekers van securitybedrijf Wordfence over het lek ingelicht.

Op 29 juni verscheen er een beveiligingsupdate, maar die bleek het probleem niet volledig te verhelpen. Op 4 juli kwam er wel een volledig werkende patch. Uit cijfers van WordPress blijkt dat van de meer dan 60.000 WordPress-sites die de plug-in hebben geïnstalleerd er pas 24.000 up-to-date zijn. Beheerders die de laatste versie nog niet hebben geïnstalleerd worden opgeroepen dit alsnog te doen, aangezien Wordfence details over de kwetsbaarheid openbaar heeft gemaakt.