Betroffen ist das WordPress-Plugin Photo Gallery (auch als 10Web Photo Gallery bekannt), mit dem Bildergalerien auf Webseiten eingebunden werden. In einem Modul des Frontend-Bereichs wird ein Suchparameter, der aus der Anfrage übernommen wird, nicht ausreichend geprüft, bevor er in eine Datenbankabfrage eingebaut wird. Dadurch kann ein Angreifer eigene SQL-Anweisungen einschleusen (SQL-Injection). Da der Fehler im öffentlich erreichbaren Teil der Webseite liegt, genügt eine passend manipulierte Anfrage an die Galerie-Suche. In der Folge lassen sich Datenbankinhalte auslesen, die eigentlich nicht zugänglich sein sollten – etwa Benutzerdaten oder Zugangs-Hashes – und je nach Konfiguration auch Daten verändern. Angreifbar sind alle WordPress-Installationen, die dieses Plugin in einer ungepatchten Fassung einsetzen.