Die Schwachstelle betrifft die Webanwendungsplattform ColdFusion und ist eine Server-Side Request Forgery (SSRF). Dabei bringt ein Angreifer den Server dazu, in seinem Namen Netzwerkanfragen an Ziele zu senden, die der Angreifer selbst nicht direkt erreichen könnte. Im vorliegenden Fall führt dieser Fehler zu einer Umgehung einer Sicherheitsfunktion: Der Angreifer kann vorgesehene Schutzmechanismen aushebeln und sich so unberechtigten lesenden Zugriff verschaffen – etwa auf Informationen, die eigentlich abgeschirmt sein sollten. Für die Ausnutzung ist keine Interaktion eines Benutzers erforderlich, der Angriff läuft also ohne Zutun eines Opfers ab. Zudem ist der Wirkungsbereich verändert (Scope changed): Der Angriff bleibt nicht auf die verwundbare Komponente selbst beschränkt, sondern kann sich auf weitere, eigentlich getrennt abgesicherte Ressourcen auswirken. Betroffen sind ColdFusion-Installationen, über die der SSRF-Angriffspfad erreichbar ist.