يمكن للمهاجم الذي يمتلك أذونات كتابة مناسبة لـ JSON:API أن يقوم، في بعض الحالات النادرة، بحقن حمولة ضارة، مما يؤدي إلى حدوث «حقن كائنات PHP». يحدث «حقن كائنات PHP» عند استخدام مدخلات غير موثوق بها لإنشاء مثيلات للكائنات، مما قد يسمح للمهاجم بتنفيذ تعليمات برمجية عشوائية أو التلاعب بمنطق التطبيق. لا يمكن استغلال هذه الثغرة إلا إذا كان الموقع يستخدم نوع حقل مرجع الكيان الذي يخزن خاصية متسلسلة، وقام بتمكين حق الوصول للكتابة لـ JSON:API، والذي يكون للقراءة فقط بشكل افتراضي.