Plugin & theme audit.

Cada acción reservada a admin verificada con current_user_can() y la capability correcta — no sólo is_user_logged_in().

Cada petición que cambia estado verificada con un nonce válido y vinculado a la acción. Fácil de olvidar; causa común de cadenas CSRF-a-RCE.

Saneamiento y validación de cada entrada de usuario — no sólo al guardar, sino en cada capa (REST, AJAX, shortcode, bloque, comando CLI).

Cada echo / printf / variable de plantilla envuelta en el escaper correcto (esc_html, esc_attr, esc_url, wp_kses). El XSS reflejado sigue siendo el hallazgo más común en WordPress.

Prepared statements en todo el código. Sin concatenación de strings en $wpdb->query(). $wpdb->prepare() con los especificadores de formato correctos.

Manejadores de subidas, borrado de archivos, lecturas de archivos — todo verificado contra path traversal, validación de tipo y prevención de ejecución en directorios de uploads.

Usos de eval, unserialize, system, exec, preg_replace /e, extract — marcados y revisados en contexto.

Login custom, restablecimiento de contraseña, OAuth, manejo de tokens de API — cada vez que el plugin mueve identidad, miramos de cerca.

Librerías incluidas (jQuery, paquetes de Composer, builds de npm) revisadas contra versiones con vulnerabilidades conocidas y cualquier fork de código upstream.

Cualquier petición HTTP saliente revisada — qué se envía, a dónde y si la respuesta se confía ciegamente.

Si el plugin se autoactualiza desde una fuente que no es WordPress.org, la integridad del canal de actualización se revisa de extremo a extremo.

Separación entre network admin y site admin, rutas de escalada a super-admin, acciones restringidas por rol en toda la red.