[StefanT]

So könnte jeder Laie, zumindest oberflächlich checken, ob eine gravierende Sicherheitslücke in seinem Wunschplugin vorhanden ist.

Das ist schlichtweg nicht möglich. Je nach Programmierstil sieht es anders aus und ist für einen Laien nicht oberflächlich prüfbar ohne den Inhalt jeder einzelnen Variable durch das Plugin zu verfolgen. Genau das macht es ja so aufwendig.