Un legacy widget è il vecchio formato di widget di WordPress usato prima dei widget basati su blocchi. A differenza dei blocchi moderni, i legacy widget possono basarsi su percorsi di rendering diversi, strutture di impostazioni più vecchie e regole di parsing speciali. Questo li rende importanti nelle revisioni di sicurezza perché il codice che li gestisce può comportarsi in modo diverso dal resto del sito.
Nella sicurezza informatica, il supporto ai legacy widget è importante quando un plugin elabora i dati del widget come contenuto di presentazione affidabile ma interagisce comunque con input non affidabili come titoli, shortcode, impostazioni serializzate o riferimenti a callback. Se la convalida è debole, un attaccante può usare il percorso del widget per attivare injection di oggetti, esecuzione di codice o rendering di template non sicuro. I difensori dovrebbero considerare le funzionalità dei legacy widget come superficie di attacco, mantenere aggiornati i plugin, testare le configurazioni migrate e disabilitare la vecchia logica dei widget quando non è più necessaria.