Внешняя ссылка на /wp-json/ в вордпресс.

Помог плагин Disable REST API, еще в robots.txt закрыть надо Disallow: /wp-json/
Почитайте инструкцию к плагину, там все написано.

а зачем плагин, если можно код прописать в функцион.пхп?
Ищу работу)) помощника по вордпресс, защите и всему остальному. Не дорого.

Да, и ещё в роботсе указать логин и пароль к БД с запретом на доступ к БД!
Нехрен в роботсе указывать чё у Вас на сервере

Это скорее всего XSS.

Я тоже так думаю, хотели что то подсадить на сайт, обнаружил в веб мастере более 500 ссылок, ну и давай проверять В браузере где админка сайта открыта, откуда идут, чуть не попался. Благо попал на этот вопрос и на ваш xShift комент, спасибо! Оперативно сменил логин и пароль, думаю теперь в безопасности.

это безобидный скрипт вроде. гугли, есть статья

Скрипт может быть и безобидный, но почему множество вредоносных ссылок указывают на него ?

Вот статья https://habr.com/post/66057/ такой безопасный, что можно без штанов остаться.