Jak zablokować skrypt zaszyty w nazwie pliku przy uploadzie?

Cześć

Znacie może sposób żeby zablokować wykonywanie skryptu przy uploadowaniu w formularzu kontaktowym? Chodzi mi o plik np. <script>alert().pdf jeżeli dodamy do formularza to skrypt wykonuje się po stronie przeglądarki. Strona jest na Wordpress'ie a formularz kontaktowy jest ogarniany przez wtyczkę Contact Form 7

Zobacz ten post post:
https://4programmers.net/Forum/Java/343993-zabezpieczony_formularz_post?p=1707607#id1707607

Wychodzi na to że nie da się tego zablokować?

Nikt nie ma innych pomysłów?