Dois problemas distintos foram identificados. Primeiro, um módulo projetado para restringir o acesso ao endpoint `/user/login` por meio de uma chave secreta não invalida os caches relevantes ao ser ativado. Isso permite que atacantes acessem a página de login por meio de respostas em cache. Segundo, um módulo que expõe dados estruturados via endpoints JSON não verifica suficientemente as permissões de acesso. Isso permite que usuários anônimos recuperem valores de campos de entidades que não têm autorização para visualizar, como conteúdo não publicado.