Resumo: O plugin JSON API Auth (até a versão 3.1.2) tem uma falha de bypass de autenticação com CVSS 9.8. Como o plugin pai JSON API guarda em cache as respostas apenas pela URL, a resposta do endpoint generate_auth_cookie, que contém um cookie de login válido, pode ser servida a qualquer visitante que repita a mesma requisição em até 24 horas após um administrador usá-lo. Com esse cookie, o atacante entra no site como administrador; a exigência de HTTPS pode ser contornada com um simples parâmetro na URL.
Fonte: TheHackerWire / Wordfence Intelligence
O que fazer: Verifique se os plugins JSON API Auth e JSON API (PI-Media) estão instalados. Se estiverem, atualize o JSON API Auth para uma versão posterior à 3.1.2 assim que disponível ou, se não houver correção, desative o controller Auth ou remova os dois plugins. Depois, encerre todas as sessões ativas (troque as chaves/salts no wp-config.php), troque as senhas dos administradores e revise a lista de usuários em busca de contas criadas sem autorização.