Resumo: O plugin Easy Property Listings, usado por imobiliárias, não restringe quais campos dos anúncios são incluídos na saída pública da REST API em versões anteriores à 3.5.28. Com isso, visitantes sem login conseguem ler informações que o site optou por esconder em anúncios publicados, como preço pedido, preço de venda, endereço e coordenadas exatas do mapa. Não há exploração conhecida, mas a falha pode expor dados sensíveis de clientes e proprietários.
Fonte: WPScan (via TheHackerWire)
O que fazer: Atualize o Easy Property Listings para a versão 3.5.28 ou superior. Depois, acesse /wp-json/wp/v2/ no endpoint de anúncios do seu site sem estar logado e confirme que preço, endereço e coordenadas ocultos não aparecem mais. Se não puder atualizar de imediato, restrinja o acesso anônimo à REST API para esse tipo de post com um plugin de segurança.