Все картинки и файлы сайта лежат в одной медиатеке. Загрузили один раз, выбрали в любой записи, на странице или в товаре.
Загруженное проверяется по содержимому, а не по имени: исполняемый файл под видом картинки не пройдёт. Картинки движок пересобирает сам, а в папке загрузок ничего не исполняется.
Пока никто не высказался. Будьте первым.