ماژول File Force Download برای سیستم مدیریت محتوای دروپال ۷ (Drupal 7) دارای یک نقص امنیتی است که می‌تواند منجر به دسترسی غیرمجاز به فایل‌ها شود. این ماژول از تابع hook_file_download() برای افزودن هدر Content-Disposition استفاده می‌کند، مشروط بر اینکه پارامتر download در URL فایل وجود داشته باشد.
در نسخه ۷ از دروپال، بازگرداندن یک آرایه هدر غیرخالی از طریق این هوک (hook)، به خودی خود به معنای اعطای دسترسی به فایل است. در نسخه‌های ۷.۱.۰ تا ۷.۱.۲، این ماژول تنها زمانی پیاده‌سازی‌های سایر ماژول‌ها را فراخوانی می‌کرد که فایل در طرحواره خصوصی (private scheme) قرار داشت. اما برای سایر طرحواره‌ها، ماژول بدون انجام هیچ‌گونه بررسی امنیتی، هدرهای خود را بازمی‌گرداند.
این نقص امنیتی به یک بازدیدکننده بدون احراز هویت (unauthenticated visitor) اجازه می‌دهد تا با افزودن پارامتر download=1 به انتهای URL فایلی که در طرحواره temporary:// یا سایر طرحواره‌های غیر از private قرار دارد، به فایل دسترسی پیدا کرده و آن را دانلود کند.
