Die Schwachstelle betrifft ColdFusion und beruht auf einer unzureichenden Bereinigung von Sonderzeichen in SQL-Anweisungen. Eingaben, die an Datenbankabfragen weitergegeben werden, werden nicht ausreichend geprüft, sodass ein Angreifer eigene SQL-Befehle in die Abfrage einschleusen kann (SQL-Injection). Die Folgen gehen über den reinen Datenbankzugriff hinaus: Die Lücke kann zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen, also mit dessen Rechten auf dem betroffenen System. Eine Mitwirkung von Nutzern ist für den Angriff nicht erforderlich, der Angreifer benötigt kein Opfer, das etwa einen Link anklickt. Zudem wirkt sich der Angriff über die unmittelbar betroffene Komponente hinaus aus, was das Schadenspotenzial erhöht. Betroffen sind Anwendungen und Server, die auf ColdFusion als Applikationsplattform aufsetzen und dort Datenbankabfragen verarbeiten.