Um problema de upload arbitrário de arquivos existe devido à falta de validação de extensão de arquivo no lado do servidor dentro da função `cbforms check form submissions()`. Quando nenhuma restrição de campo é configurada, a verificação de tipo permitido assume a extensão do arquivo enviado, permitindo o upload de arquivos executáveis, como .php. Isso permite que invasores não autenticados alcancem a execução remota de código. O nonce de submissão usado para validação é impresso inline em páginas públicas, tornando-o facilmente acessível a visitantes não autenticados.