Un tema WordPress è un insieme di template lato server, stili e risorse che controlla l'aspetto di un sito e il comportamento di parte della logica delle pagine. Nei temi classici, i file template PHP possono essere eseguiti a ogni richiesta, quindi un tema non è solo un livello di design: può aprire file, elaborare input, verificare permessi e decidere quali contenuti mostrare.
Questo è importante nella sicurezza informatica perché una debolezza nel codice del tema può diventare una vulnerabilità di sicurezza, non solo un bug di visualizzazione. Percorsi di file non sicuri possono portare a letture arbitrarie di file, mentre controlli di capacità mancanti possono consentire bypass dell'autenticazione o azioni non autorizzate. I difensori esaminano il codice del tema alla ricerca di include controllati dall'utente, accesso insicuro ai file e logica di autorizzazione debole, e correggono o sostituiscono i temi che gestiscono male le richieste privilegiate. In pratica, il livello del tema fa parte della superficie di attacco ogni volta che elabora dati considerati attendibili sul server.