우리 사이트의 다른 관리자분을 도우면서 다음과 같은 조언을 드렸는데, 100% 정확한지 확신이 서지 않습니다. 잘 아시는 분들께서는 검토해 주시고 잘못된 부분이 있는지 알려주시면 감사하겠습니다.
이는 테마 미리보기 버튼을 사용하는 맥락에서의 내용입니다.
테마는 SQL 쿼리를 통해 게시글 텍스트가 반환된 후에 실행되는 CSS와 JavaScript에 불과하며 데이터베이스를 업데이트하지 않으므로, AFAIK(제가 아는 한) 완전히 안전합니다. 최악의 경우에도 미리보고 있는 단일 HTML 페이지가 엉망이 되는 정도가 될 것입니다.
불행히도 테마는 100% 안전하지 않습니다. 미리보기는 관리자 계정 컨텍스트에서 실행되며, 다양한 라우트로 AJAX 호출을 수행할 수 있습니다.
악의적인 사용자가 테마를 통해 상당한 피해를 줄 수 있습니다. 소스 코드를 살펴보면 매우 분명히 알 수 있지만, 기술적으로는 가능합니다.
감사합니다.
문맥을 위해 언급해야 할 점이 하나 있었습니다. 그는 포스트의 단어 링크화를 포크하여 Prolog 참고 매뉴얼과 함께 작동하도록 만드는 중입니다. 이렇게 하면 예측자 지표가 사용될 때([module:]name{/|//}arity?) 해당 예측자로 직접 링크가 걸리게 되며, 예를 들어 append/3처럼 동작합니다.
그가 악성 AJAX 호출을 추가하는 것을 보지는 못했지만, 다른 사람이 만든 테마를 다운로드할 때 이를 확인해 보는 것이 좋다는 점은 알아두면 좋습니다. 
컴포넌트 개발에 관한 소통은 관심 있는 분들을 위해 공개된 포스트에서 이루어지고 있습니다.