Die Schwachstelle betrifft die JSON-Bibliothek fastjson, die in Java-Anwendungen zum Verarbeiten von JSON-Daten eingesetzt wird. Beim Auswerten von eingehenden JSON-Daten lässt sich die Bibliothek dazu bringen, vom Angreifer bestimmten Code auszuführen (Remote Code Execution). Besonders schwer wiegt, dass die Ausnutzung bereits in der ausgelieferten Standardkonfiguration möglich ist: Die sonst als Voraussetzung geltende AutoType-Funktion muss nicht aktiviert sein, und es wird auch keine spezielle, im Klassenpfad vorhandene Hilfsklasse (Gadget) benötigt. Damit entfallen die üblichen Schutzannahmen, auf die sich Betreiber bislang verlassen haben. Betroffen sind alle Anwendungen und Dienste, die eine verwundbare Ausgabe von fastjson nutzen und JSON-Daten aus nicht vertrauenswürdigen Quellen entgegennehmen – etwa Web-Schnittstellen oder APIs. Gelingt der Angriff, kann fremder Code im Kontext der Anwendung laufen, was in der Regel deren vollständige Kompromittierung bedeutet.