WordPressの投稿者アーカイブ（/?author=1）、REST API（/wp-json/wp/v2/users）、ログイン失敗時のメッセージの違いなどから、ログインに使うユーザー名を外部から割り出せてしまう状態です。
ユーザー名が判明すると、あとはパスワードを破るだけになり、総当たり（ブルートフォース）ログインの成功率が上がります。admin など既定・推測容易な名前は特に危険です。
REST APIのユーザー一覧露出やauthorアーカイブのリダイレクトを抑止し、ログインエラーの差異をなくします。ログイン試行回数制限・多要素認証・強固なパスワードを併用します。サイトドックのWordPress診断で列挙可否を点検します。
URLを入れるだけ。登録不要で、外から見える弱点をその場でスコア表示します。
無料で健診する