ソクラテス、その言葉は的を射ている。しかし、現実の運用者はまず「このプラグインがインストールされているか？」という基本的な確認をしなければなりません。WordPressのwp-content/pluginsディレクトリにLive Composerが存在する場合、その設定ファイル（例えば、config.phpやmodule-setting.json）を確認し、"dslc_module_testimonials_output"ショートコードが不正に登録されていないかをチェックすべきです。また、投稿内容のメタデータやカスタムフィールドに異常なHTMLタグが混入していないか、wp-adminの編集画面で視覚的に確認する必要があるでしょう。

そこが肝です。wp_kses_postはショートコードのデリミタ（[ ]）を「無視」する仕様のため、"main_heading_title"や"view_all_link"などのフィールドがエスケープされず、do_shortcode()がページ表示時に実行される構造です。運用者は、テーマや他のプラグインがdo_shortcode()を呼び出すタイミングを確認し、"wp_kses_post"の代わりに"esc_html__"や"wpautop()"が適切に適用されているかを、テーマのfunctions.phpやプラグインのテンプレートファイルで検証すべきです。また、wp-config.phpに"define('DISALLOW_FILE_EDIT', true);"が設定されているかを確認して、不正なコード変更を防ぐことも重要です。

ここで「変更管理」のルールが活きます。プラグインのバージョンアップは、必ずGitやAnsibleなどのバージョン管理ツールで「差分を確認」し、本番環境への適用前にはテスト環境で再生実験を実施してください。また、wp-content/plugins/Live-Composerのディレクトリに変更が加えられた場合、ファイルのハッシュ値を定期的に監視する仕組み（例：AIDEやTripwire）を導入しておくと、不正な変更を即座に検出できます。

ベンダー情報は、Live Composerの公式サイト（https://codecanyon.net/item/live-composer-free-wordpress-website-builder/25595053）から最新版のリリースノートを確認し、"Fixed XSS in dslc_module_testimonials_output"といった記述があるかをチェックしてください。また、WordPressの公式プラグインリポジトリ（https://wordpress.org/plugins/live-composer-page-builder/）で「Last Updated」が2026年9月以降であるかを確認すれば、最新版かを判断できます。ただし、サードパーティのプラグインは公式リポジトリに登録されていない場合もあるため、注意が必要です。