یک آسیب‌پذیری از نوع Improper Authorization (عدم مجوزدهی مناسب) در ماژول Drupal Field Collection برای نسخه Drupal 7 شناسایی شده است. این نقص امنیتی به کاربرانی که دارای مجوز “edit field collections” هستند، اجازه می‌دهد تا کنترل دسترسی (Access Control) روی موجودیت میزبان (Host Entity) را دور بزنند.
بررسی‌های فنی نشان می‌دهد که تابع field_collection_item_access()، دسترسی‌های ویرایش و حذف را به هر کاربری که مجوز “edit field collections” را دارد، اعطا می‌کند؛ بدون اینکه دسترسی کاربر به موجودیت میزبان را بررسی کند. در نتیجه، کاربرانی که مجوز ویرایش مجموعه‌های فیلد را دارند اما اجازه ویرایش یا به‌روزرسانی موجودیت اصلی (Parent Entity) را ندارند، می‌توانند از این نقص برای انجام تغییرات غیرمجاز استفاده کنند.
