Здравствуйте!
Защита от СПАМа - google recaptcha
Если вы реализовали форму отзывов при помощи ACF, то можно взять "повторитель" и добавить в него поле "Изображение".
Безопасность. Насколько я знаю, не особо безопасно позволять юзверям загружать на сервер какие-то данные.
Пользователи и так не могу загружать что попало. Разумеется, что если у вас в wp-config не добавлен параметр
allow unfiltered uploads
О том, как хранить картинки, то прикреплять их нужно к создаваемой записи (CPT) и хранить. Необходимо зарегистрировать файл в медиабиблиотеке