Um problema de autorização incorreta permite a navegação forçada. O módulo não restringe adequadamente o acesso a campos configurados como Private em tipos de entidade que não possuem um campo de autor (como uma conta de usuário ou proprietário). Consequentemente, esses campos Private podem ser visualizados e, se a entidade for editável, ela pode ser modificada por qualquer usuário que consiga visualizá-la, incluindo usuários anônimos. Este problema não afeta campos definidos como Private em nós, usuários, mídia, comentários ou outros tipos de entidade com autor, nem afeta campos que utilizam permissões personalizadas.