Um problema de Injeção de Objeto existe no módulo Flag attendance field devido ao controle inadequado da modificação de atributos de objeto determinados dinamicamente. O módulo armazena dados como strings serializadas em PHP e, se dados maliciosos forem gravados diretamente no campo, isso pode levar à injeção de objeto durante o processo de desserialização. Isso ocorre quando um invasor tem permissão para editar uma entidade de conteúdo com um campo `flag attendance field` anexado e o módulo core JSON:API está habilitado com a opção de aceitar todas as operações de criação, leitura, atualização e exclusão, ou se o invasor possui outro método para editar os valores dos campos diretamente.