REST API WordPress по умолчанию предоставляет публичный эндпоинт со списком пользователей сайта — это не ошибка, а особенность архитектуры, о которой стоит знать с точки зрения безопасности.
Что именно видно посторонним
Через адрес вида /wp-json/wp/v2/users любой посетитель может увидеть список авторов с их именами пользователя (login), что упрощает подбор пароля методом перебора, если username совпадает с тем, что используется для входа в админку.
Почему так сделано по умолчанию
Эта функциональность нужна для многих легитимных задач — например, отображения информации об авторе статьи через API в темах и приложениях, работающих с WordPress как headless CMS.
Как ограничить, если это не нужно
Плагины безопасности (например, Disable REST API или специальные модули в комплексных решениях вроде Wordfence) позволяют закрыть этот эндпоинт для неавторизованных запросов, оставив доступ только тем, кому это действительно необходимо.
