Deze discussie heeft men hier al enige keren voorbij zien komen. Wat ik ervan begrepen heb, is het zo dat de kernel software bij WordPress wel aardig wordt bijgehouden, het zijn juist de thema's en de legio plug-ins, die mits niet goed getest of in het ergste geval als "verlaten" code een groot gevaar kunnen vormen. In heel veel gevallen is de CMS versie ook nog oud, heeft men jquery code laten staan vanaf het moment dat het erop geplempt werd. Is" user enumeration" en "directory listing" "enabled" blijven staan en noem zo nog maar een paar zaken op (onveilige links - iFrames). Men is hier in de meeste gevallen nog helemaal niet begonnen om sri-hashes te genereren tot het verkrijgen van "same origin" voor externe embedded scripts bijvoorbeeld. Security headers niet geïmplementeerd. Excessieve server header proliferatie code gevonden, http only cookies waarchuwing gegeven, clickjacking kwetsbaarheid aangetroffen. Naamservers die naar boven toe een DROWn exploit doordrenzen. DOM-XSS sources en sinks. Niet ...