Уязвимость позволяла получить логин администратора, что облегчало возможность атаки грубой силы. На данный момент ошибка устранена.
Благодарим Raju Basak за сообщение о найденной бреши в API.