A modificação inadequadamente controlada de atributos de objeto determinados dinamicamente no módulo Formatter Field permite a Injeção de Objetos. Isso ocorre porque o módulo armazena dados como strings serializadas em PHP e, se dados maliciosos forem gravados diretamente no campo, a vulnerabilidade pode ser acionada durante o processo de desserialização. A exploração requer que o invasor tenha permissão para editar uma entidade de conteúdo com um campo `formatter field` anexado. Além disso, o módulo core JSON:API deve estar habilitado com a opção "Accept all JSON:API create, read, update, and delete operations", ou o invasor deve possuir outro método para editar os valores dos campos diretamente.