O Drupal core permite a Injeção de Objetos devido à modificação inadequadamente controlada de atributos de objetos determinados dinamicamente. Este problema envolve uma "gadget chain" (uma sequência de fragmentos de código existentes) que pode ser utilizada para alcançar a execução remota de código ou injeção de SQL se a aplicação desserializar dados não confiáveis através da função `unserialize()` devido a outra vulnerabilidade. Este problema não é explorável diretamente por si só.