Die Schwachstelle beruht auf einer fehlerhaften Rechteverwaltung in Verbindung mit einer unzureichenden Prüfung von Pfadangaben. Betroffen sind die Endpunkte des Dienstes cpdavd, über die normalerweise E-Mail-Anhänge heruntergeladen werden. Weil die übergebenen Pfade nicht ausreichend gefiltert werden, kann ein Angreifer die Anfrage so manipulieren, dass sie aus dem vorgesehenen Verzeichnis herausführt und stattdessen auf andere Stellen des Dateisystems zeigt. Zusammen mit den zu weit gefassten Berechtigungen, mit denen der Dienst arbeitet, lassen sich dadurch beliebige Dateien auf dem Server auslesen. Das kann Konfigurationsdateien, Zugangsdaten oder Daten anderer Nutzer auf demselben System umfassen. Es handelt sich also um einen Fall von Path Traversal mit anschließendem unbefugten Lesezugriff, der die Vertraulichkeit der auf dem Server gespeicherten Informationen unmittelbar untergräbt.