Luki pozwalają na wprowadzenie własnej treści do pliku szablonu (tpl.php). Po wprowadzeniu pliku o odpowiedniej treści włamywacz ma dostęp do identyfikatora sesji i wszystkich danych. Podobne możliwość daje włamanie z wykorzystaniem błędu filtracji wyników przy przeszukiwaniu serwisu.

Kolejna luka dotyczy modułu Simple Access. Umożliwia on przejęcie prywatnych informacji zawartych w profilach.Dziurawy jest także moduł odpowiedzialny za menu. Zawiera lukę, która umożliwia także edycję wszystkich danych użytkowników (a także zawartości ich blogów).

Jeżeli używasz Drupala, ale z jakiegoś powodu nie możesz dokonać aktualizacji, zwiększyć odporność swojego serwisu na ataki także wyłączając opcję tegister_globals w pliku konfiguracyjnym PHP (php.ini).