يحتوي مكون Drupal Canvas على ثغرة في التفويض تسمح بالتصفح القسري لصفحات Canvas عندما تكون غير منشورة. لا يقوم المكون بالتحقق بشكل صحيح من صحة الوصول إلى صفحات Canvas، مما قد يسمح بالوصول غير المصرح به. يتم التخفيف من حدة هذه المشكلة بحقيقة أن مراقبة المحتوى غير ممكّنة بشكل افتراضي وأن الأرشفة ليست إحدى ميزات المكون.