توجد مشكلة تتعلق بتزوير الطلبات من جانب الخادم (SSRF) في وحدة Drupal Canvas. تظهر هذه الثغرة الأمنية عند تمكين الوحدة الفرعية المخفية `canvas ai`، وعادةً ما يكون ذلك من خلال Drupal Recipes أو نصوص النشر. لا تقوم الوحدة النمطية بتنقية البيانات التي يقدمها المستخدم بشكل كافٍ ضمن حمولة JSON للرسائل عبر طلبات API مصممة خصيصًا. يجب أن يمتلك المهاجم دورًا يتمتع بإذن «استخدام Drupal Canvas AI» لاستغلال هذه المشكلة.