Die Schwachstelle betrifft die Anwendungsserver-Software ColdFusion. Ursache ist eine unzureichende Prüfung von Eingabedaten: Vom Angreifer übergebene Werte werden nicht ausreichend validiert, bevor sie weiterverarbeitet werden. Dadurch kann ein Angreifer beliebigen Programmcode einschleusen und im Kontext des aktuell ausführenden Benutzers ausführen lassen – also mit dessen Rechten auf dem Server. Eine Mitwirkung des Nutzers, etwa das Öffnen einer Datei oder das Anklicken eines Links, ist dafür nicht erforderlich, was den Angriff deutlich erleichtert. Zudem wirkt sich die Ausnutzung über die betroffene Komponente hinaus aus: Der Angreifer kann auch Bereiche beeinflussen, die eigentlich außerhalb des Zuständigkeitsbereichs der verwundbaren Komponente liegen. Da ColdFusion typischerweise als serverseitige Plattform für Webanwendungen betrieben wird, sind sowohl die dort verarbeiteten Daten als auch das gesamte Serversystem gefährdet.