У кого установлен WP No External Links версии 4 - срочно удалите его. Выяснилось, что в плагине content injection backdoor, присутствующий с версии 4.2.1. Сейчас плагин удален из репозитория вордпресса, поэтому обновиться куда-то не удастся. В качестве замены рекомендуют вернуть версию 3.5.