Der Fehler steckt im integrierten Hilfesystem der Administrationskonsole von IBM WebSphere Application Server. Die Eingaben, die dort verarbeitet und wieder in die Webseite eingebettet werden, werden nicht ausreichend geprüft und maskiert. Dadurch lässt sich fremder Skriptcode einschleusen, der anschließend im Browser eines Benutzers ausgeführt wird, der die Konsole aufruft (Cross-Site Scripting). Im Kontext einer Verwaltungsoberfläche ist das besonders unangenehm: Der eingeschleuste Code läuft mit der Sitzung des angemeldeten Administrators und kann damit angezeigte Inhalte manipulieren, Eingaben abfangen oder Aktionen im Namen des Administrators anstoßen. Betroffen sind Installationen des Applikationsservers, deren Administrationskonsole erreichbar ist – typischerweise Server, auf denen Java-Unternehmensanwendungen betrieben werden.