افزونه Secure Custom Fields در وردپرس (WordPress) پیش از نسخه 6.9.8 دارای یک آسیب‌پذیری امنیتی است که به دلیل عدم پاک‌سازی (Sanitization) صحیح تعاریف فیلدهای ذخیره‌شده رخ می‌دهد.
در این آسیب‌پذیری، بخشی از تعریف فیلد پیش از انتشار به عنوان یک ویژگی (Attribute) در HTML، بررسی نمی‌شود. این نقص امنیتی به کاربرانی که اجازه پیکربندی فیلدها را دارند، اجازه می‌دهد تا یک کد مخرب (Payload) را ذخیره کنند. این کد به محض مشاهده صفحه‌ای که فیلد آسیب‌پذیر را رندر می‌کند، به صورت JavaScript در مرورگر کاربر اجرا خواهد شد.
نکته حائز اهمیت در محیط‌های Multisite وردپرس این است که یک مدیر سایت (Site Administrator) که فاقد قابلیت unfiltered_html است، می‌تواند از این طریق اسکریپت‌های مخرب را در نشست‌های (Sessions) سایر کاربران تزریق کند.