يسمح Drupal core بـ «حقن الكائنات» (Object Injection) بسبب التعديل غير المراقب بشكل صحيح لسمات الكائنات المحددة ديناميكيًا. تتضمن هذه المشكلة سلسلة أدوات — وهي تسلسل من أجزاء الكود الموجودة — يمكن استغلالها لتنفيذ كود عن بُعد أو حقن SQL إذا قام التطبيق بإلغاء تسلسل بيانات غير موثوق بها عبر دالة `unserialize()` بسبب ثغرة أمنية منفصلة. لا يمكن استغلال هذه المشكلة بشكل مباشر بمفردها.