กำหนด ip ก็ไม่รอดครับ
มันเป็นบั๊ก ที่ทำให้ข้ามการตรวจสอบสิทธิ์ admin เข้ามาแก้ไข post ได้เลย
ถ้าไม่อยากอัพเดต ก็ไปแก้โค้ดเอา รายละเอียดทางเทคนิคตามนี้
https://blog.sucuri.net/2017/02/content-injection-vulnerability-wordpress-rest-api.html

หลักๆคือ การแก้ไขโพส มันจะส่ง ID ของ post ที่ต้องการแก้ไขไปที่ function สำหรับแก้
ขั้นตอนคือ
เช็คว่ามี post ที่เป็น ID นั้นจริงๆหรือเปล่า ถ้าเจอไปข้อ 2
เช็คว่า user มีสิทธิ์ในการแก้หรือเปล่า
ทำการแก้ post ID นั้นๆ
ปัญหาคือ
จากข้อ 1. ถ้า post ID เจอปัญหา มันจะข้ามขั้น 2. ไปเลย
ซึ่งในขั้น 3. จะเกิด error เพราะหา ID นั้นไม่เจอ
ตย. เช่น เรามีแค่ post ID ถึงแค่ 100 แต่ถ้าใส่ ID=101 ไป ก็จะ error
แต่ปรากฏว่า ถ้าแอบเอา character ใส่แปะท้าย ID มา ( เช่น ID = 100ABC)
มันจะข้ามขั้น 2. ไปเลย
พอมาถึงขั้น 3. ระบบดันฉลาด CAST เฉพาะตัวเลขใส่ใน parameter ให้ (ตัด ABC ทิ้งให้ เหลือ 100)
ทำให้สามารถแก้ไข post ID 100 ได้ โดยข้ามขั้นการตรวจสอบสิทธิ์มาเลย