wpautop() è un helper di formattazione di WordPress che trasforma testo semplice e interruzioni di riga in paragrafi e interruzioni di riga HTML. Serve a rendere i contenuti leggibili senza richiedere agli autori di scrivere a mano l'intero HTML. Nell'uso normale, aiuta la piattaforma a visualizzare commenti o articoli in modo più pulito.
Dal punto di vista della sicurezza, le funzioni di formattazione contano perché trasformano i dati dopo che sono stati salvati. Se la funzione gestisce male caratteri speciali, virgolette o interruzioni di riga in casi limite, il testo controllato da un attaccante può essere riscritto come HTML attivo invece che come testo inerte. Questo può creare rischi di XSS memorizzato nei percorsi di rendering dei commenti o dei contenuti. I difensori prestano molta attenzione al punto in cui wpautop() si colloca nella pipeline di rendering, e la affiancano a escaping, sanitizzazione e test consapevoli del tema, così che l'input dell'utente resti testo e non markup eseguibile.