Jedes Plugin ist eine mögliche Lücke.
Der Großteil der bekannt gewordenen Sicherheitslücken im WordPress-Umfeld steckt in Plugins und Themes. Jede Erweiterung muss einzeln aktuell gehalten werden. Bleibt ein Update liegen, ist die Website angreifbar.