WP_Query è la classe del core di WordPress usata per costruire query sui contenuti. Consente alla piattaforma, ai plugin e ai temi di recuperare articoli, pagine e altri contenuti utilizzando argomenti strutturati come autore, categoria, termini di ricerca e regole di ordinamento. Nell'uso normale, è il modo standard con cui WordPress trasforma filtri di alto livello in interrogazioni al database.
Dal punto di vista della sicurezza, WP_Query è importante perché si trova su una frontiera di fiducia. Se un plugin o un tema passa dati grezzi della richiesta negli argomenti della query senza convalida, valori controllati dall'attaccante possono influenzare il modo in cui l'applicazione costruisce SQL. Questo può creare opportunità per SQL injection, esposizione di dati o comportamento di filtraggio abusivo. I difensori riducono questo rischio trattando tutti gli input come non affidabili, eseguendo il cast dei valori ai tipi attesi, usando allowlist per i parametri della query e aggiornando il core di WordPress. Quando è necessario l'accesso personalizzato al database, le query parametrizzate restano l'approccio più sicuro perché mantengono separati codice e dati.