Die Schwachstelle betrifft Ivanti Xtraction, eine Anwendung für Reporting und Auswertungen. In der Verarbeitung von Pfadangaben fehlt eine ausreichende Prüfung, sodass ein Angreifer mit manipulierten Pfadangaben aus dem vorgesehenen Verzeichnis der Webanwendung ausbrechen kann (Path Traversal). Auf diesem Weg lassen sich beliebige Dateien des Systems außerhalb des Web-Wurzelverzeichnisses auslesen. Der Angriff ist über das Netzwerk möglich, setzt allerdings eine vorherige Anmeldung an der Anwendung voraus. Ausgelesen werden können damit potenziell Konfigurationsdateien, Zugangsdaten oder andere sensible Inhalte, die einem Angreifer weitere Schritte im Netzwerk erleichtern. Betroffen sind Installationen, in denen die Anwendung erreichbar ist und über Benutzerkonten verfügt – auch Konten mit geringen Rechten genügen, da die Schwachstelle die eigentliche Zugriffsbeschränkung auf Dateien umgeht.