Die Schwachstelle betrifft ColdFusion, eine Plattform zur Entwicklung und zum Betrieb von Webanwendungen. Es handelt sich um eine reflektierte Cross-Site-Scripting-Lücke (XSS): Vom Angreifer kontrollierte Eingaben werden von der Anwendung ungeprüft in eine Webseite zurückgespiegelt und im Browser des Opfers ausgeführt. Auf diesem Weg lässt sich Schadcode einschleusen, der im Kontext des gerade angemeldeten Benutzers läuft und bis zur Ausführung beliebigen Codes in dessen Sitzung führen kann. Der Angriff funktioniert nicht von allein, sondern erfordert eine Mitwirkung des Opfers: Dieses muss einen vom Angreifer präparierten Link öffnen. Da die eingeschleusten Skripte die ursprüngliche Sicherheitsgrenze verlassen (geänderter Scope), kann sich die Wirkung über den unmittelbaren Kontext hinaus ausdehnen und weitere Bereiche der Anwendung erfassen.