Podatność w writefreely
Zgodnie z tym PR-em do wersji 0.16.0 wyłączenie otwartej rejestracji kont na instnacji writefreely niezupełnie działało.
Owszem, formularz się nie pokazywał, ale api POST /auth/signup było cały czas dostępne.
Na szczęście wersja 0.17.0 już to poprawia.
Swoją drogą... trochę żenujący błąd.
Tak czy inaczej, zrobiłem aktualizację.