Die Schwachstelle betrifft ColdFusion, eine Plattform zur Entwicklung und zum Betrieb von Webanwendungen. Ursache ist eine unzureichende Prüfung von Eingabedaten (Improper Input Validation): Vom Angreifer übergebene Werte werden nicht ausreichend validiert, bevor sie weiterverarbeitet werden. Dadurch kann ein Angreifer letztlich beliebigen Programmcode ausführen, und zwar im Kontext des aktuell ausführenden Benutzers – er erlangt also dessen Rechte auf dem betroffenen System. Für den Angriff ist keinerlei Benutzerinteraktion erforderlich; das Opfer muss nichts anklicken oder öffnen, damit die Lücke ausgenutzt wird. Zusätzlich ändert sich beim Angriff der Wirkungsbereich (Scope): Die Auswirkungen bleiben nicht auf die verwundbare Komponente beschränkt, sondern können auf andere Bereiche des Systems übergreifen. Da ColdFusion typischerweise serverseitig Webanwendungen bereitstellt, ist ein solcher Server ein exponiertes und lohnendes Ziel.