Die Schwachstelle liegt in der Bildersuche von Microsoft Bing. Sonderzeichen, die an Betriebssystembefehle weitergegeben werden, werden dort nicht ausreichend entschärft. Dadurch kann ein Angreifer eigene Kommandos in die Befehlsverarbeitung einschleusen – ein klassischer Fall von OS-Command-Injection. Der Angriff erfolgt über das Netzwerk und erfordert keine Berechtigung im betroffenen Dienst, sodass ein nicht autorisierter Angreifer aus der Ferne Code auf dem Zielsystem ausführen kann. Da es sich um einen von Microsoft betriebenen Onlinedienst handelt, betrifft die Ausnutzung nicht einzelne Installationen bei Kunden, sondern die Infrastruktur des Dienstes selbst; entsprechend liegt die Behebung beim Betreiber.