Betroffen ist die Anwendungsplattform ColdFusion, in der eine unzureichende Kontrolle bei der Erzeugung von Code vorliegt – eine sogenannte Code-Injection-Schwachstelle. Ein Angreifer kann dabei eigenen Programmcode einschleusen, der von der Anwendung anschließend ausgeführt wird. Die Ausführung erfolgt im Kontext des aktuell genutzten Benutzerkontos, sodass der Angreifer dessen Rechte und Zugriffsmöglichkeiten erhält. Eine Mitwirkung des Benutzers ist für den Angriff nicht erforderlich, was die Ausnutzung deutlich erleichtert. Zudem wirkt sich der Angriff über die unmittelbar betroffene Komponente hinaus aus: Die Auswirkungen reichen in andere Sicherheitsbereiche des Systems hinein, wodurch weitere Teile der Umgebung gefährdet werden können. Da ColdFusion typischerweise serverseitig Webanwendungen bereitstellt, kann eine erfolgreiche Ausnutzung dazu führen, dass Angreifer Anwendungslogik manipulieren, auf verarbeitete Daten zugreifen oder sich dauerhaft im System einrichten.