Betroffen ist FUXA, eine webbasierte Software zur Prozessvisualisierung, die als SCADA-, HMI- und Dashboard-Lösung zur Überwachung und Steuerung industrieller Anlagen eingesetzt wird. In der Anwendung werden Pfadangaben unzureichend geprüft, sodass ein Angreifer durch manipulierte Pfadbestandteile aus dem vorgesehenen Verzeichnis ausbrechen kann (Path Traversal). Dadurch lassen sich Dateien mit beliebigem Inhalt an beliebigen Stellen des Server-Dateisystems anlegen oder überschreiben. Der Angriff ist über das Netzwerk möglich und setzt weder eine Anmeldung noch gültige Zugangsdaten voraus. Das Überschreiben sensibler Dateien kann bestehende Konfigurationen oder Systemdateien verfälschen und je nach Ablageort dazu führen, dass eingeschleuster Code ausgeführt wird und der Angreifer die Kontrolle über den Server erlangt. Da FUXA in industriellen Umgebungen zur Anlagensteuerung dient, kann sich eine Kompromittierung auch auf die angebundenen Prozesse auswirken.