Betroffen ist ColdFusion, eine Anwendungsplattform zum Betrieb von Webanwendungen. Die Schwachstelle beruht auf einer unzureichenden Prüfung von Pfadangaben: Eingaben, die Verzeichniswechsel enthalten, werden nicht ausreichend eingeschränkt, sodass ein Angreifer den vorgesehenen Verzeichnisbereich verlassen kann. Ein solcher Pfadwechsel-Angriff (Path Traversal) erlaubt es, beliebige Dateien im Dateisystem des Servers zu lesen – darunter auch vertrauliche Konfigurations- oder Systemdateien, die eigentlich außerhalb des zulässigen Zugriffsbereichs liegen. Die ausgelesenen Informationen können anschließend als Grundlage für weitergehende Angriffe dienen, etwa wenn Zugangsdaten oder Schlüsselmaterial darin enthalten sind. Für die Ausnutzung ist keinerlei Mitwirkung eines Benutzers erforderlich; der Angriff erfolgt allein durch entsprechend präparierte Anfragen. Zudem wirkt sich die Schwachstelle über die unmittelbar betroffene Komponente hinaus aus, betrifft also auch Ressourcen jenseits des eigentlichen Anwendungskontextes.