Betroffen ist die Analyse- und Business-Intelligence-Plattform Metabase, sowohl die Open-Source-Ausgabe als auch die Enterprise-Variante. Die Schwachstelle erlaubt es Angreifern, beliebige Betriebssystembefehle auf dem Server auszuführen, auf dem Metabase läuft – und zwar mit denjenigen Rechten, unter denen der Dienst selbst arbeitet. Besonders schwerwiegend ist, dass für die Ausnutzung keine Anmeldung und keine gültigen Zugangsdaten erforderlich sind: Ein Angreifer benötigt lediglich Netzwerkzugriff auf die Anwendung. Damit kann er die Kontrolle über das System übernehmen, an die von Metabase verwalteten Datenbankverbindungen und Auswertungsdaten gelangen, Daten manipulieren oder sich im Netzwerk weiter ausbreiten. Da Metabase-Instanzen häufig direkt aus dem Internet erreichbar sind und zentral an interne Datenbanken angebunden werden, ist die Angriffsfläche entsprechend exponiert.