Temanızdaki bir eklenti açığı sayesinde bunu yapabilirler.
Wordpress database bilgilerinize erişmiş olabilirler.

Ftp yani hosting bilgilerinize erişmiş olabilirler ve ya dışardan konu ekletme ile alakalı bir eklenti kullanıyorsanız kişi kendi bilgisayarından post ettirebilir ..

Bunun gibi bir çok şey olabilir, lütfen sırası ile kontrol ediniz.