Просто из любопытства, есть ли у кого-нибудь объяснение, потому что WordPress разрешает запросы из любого источника в остальные API? Работаете как подстановочный знак? Мне кажется странным!
https://github.com/WordPress/WordPress/blob/master/wp-includes/rest-api.php#L590