Die Schwachstelle betrifft die Anwendungsserver-Software ColdFusion und beruht auf einem uneingeschränkten Datei-Upload mit gefährlichem Dateityp. Weil die Software beim Hochladen nicht ausreichend prüft, welche Art von Datei angenommen wird, kann ein Angreifer eine Datei mit gefährlichem, ausführbarem Inhalt einschleusen. In der Folge lässt sich beliebiger Code im Kontext des aktuellen Benutzers ausführen, unter dessen Rechten der Dienst läuft. Der Angriff erfordert keinerlei Benutzerinteraktion, muss also nicht durch das Öffnen einer Datei oder einen Klick eines Opfers ausgelöst werden. Zudem ist der Wirkungsbereich verändert (Scope changed): Die Auswirkungen bleiben nicht auf die verwundbare Komponente beschränkt, sondern können auf darüber hinausgehende Bereiche des Systems übergreifen. Betroffen sind Server, auf denen ColdFusion betrieben wird und die einen solchen Upload zulassen.