• ショートコードの属性を出力前に検証・エスケープし、投稿本文へ埋め込んだ値が HTML やスクリプトとして実行されないようにしました。
• 動画 ID、色、CSS クラスなどの投稿メタを、保存時にサニタイズし、表示時にもエスケープするようにしました。
• カテゴリとタグの追加情報は、編集権限と nonce を確認したうえで、定義済みの項目だけを保存・出力するようにしました。
• テーマ設定のインポート、エクスポート、初期化、キャッシュ削除は管理者のみが実行でき、インポートはテーマが定義している設定項目だけを受け付けます。
• 検索キーワードを SQL に直接埋め込まないようにしました。
• 管理用のアクションは、許可した処理だけを、ログイン・権限・nonce の確認後に実行するようにしました。
• 検索や並び替えなどのクエリを文字列として受け取り、配列を渡された場合でもエラーにならないようにしました。表示中の URL はサイトのホーム URL から組み立てます。
• 外部から取得したデータを unserialize しないようにしました。Vimeo の情報は oEmbed の JSON から取得します。
• 投稿者名、プロフィール、サイト URL をエスケープして出力するようにしました。
• カスタマイザーの設定は、チェックボックス、数値、色、URL、選択肢など、型が明確なものにサニタイズを適用するようにしました。
• 外部画像のサイズ取得を、許可された安全な通信方法に変更しました。
• 証明書の検証を無効にした外部通信を廃止しました。
• テーマが作成するファイルとディレクトリの権限を、WordPress 標準に統一しました。
• ライセンスの有効化と無効化は、管理者のみが実行できるようにしました。
• テーマ内の PHP ファイルへ URL から直接アクセスできないようにしました。

• 投稿の閲覧数を、1回のデータベース更新で加算するようにしました。
• 断片キャッシュをまとめて読み込み、キャッシュキーの記録もリクエストの最後に一度だけ書き込むようにしました。
• Vimeo の oEmbed 結果をキャッシュし、同じ動画への問い合わせを繰り返さないようにしました。
• X（Twitter）の widgets.js は、フォローボタンや埋め込みを表示するページ、またはページ遷移を使う場合だけ読み込むようにしました。
• jQuery の初期値を、WordPress 同梱の jQuery に変更しました。この変更は新規インストール時の初期値であり、すでに保存されている設定は変わりません。

• 未定義の変数や配列キー、通信エラーの未確認が原因で発生していた PHP の警告と致命的エラーを修正しました。
• YouTube と Vimeo の埋め込みに、再生に必要な権限と参照元ポリシーを追加しました。

• 非推奨の google.maps.Marker をやめ、現行の AdvancedMarkerElement でマーカーを出すようにしました。
• Genique、INFINITII、Fresco では、ページ遷移のあとでも地図を描き直すようにしました。

• 4カラムと5カラムで隙間が潰れ、タイルが重なることがありました。isotope をメインのスクリプトより先に読み込むようにし、指定した間隔で並ぶようにしました。

対象: Genique、INFINITII、fresco

• はてなブックマーク数の引数名が食い違い、件数が表示されないことがありました。呼び出し側と同じ名前に合わせました。
• Voyageur、Lemon Cream、COLORS では、続きを読むリンクの URL を指定しても空に戻っていました。指定した URL を使うようにしました。

対象: fresco、Luminous、Clarity、Fancie NOTE、Macchiato、Voyageur、Lemon Cream、COLORS