Betroffen ist die Anwendungsplattform ColdFusion. Sie bereinigt Sonderzeichen nicht ausreichend, bevor diese in einen Betriebssystembefehl übernommen werden. Dadurch entsteht eine Befehlsinjektion: Ein Angreifer kann eigene Kommandos einschleusen und beliebigen Code im Kontext des aktuell ausführenden Benutzerkontos ausführen. Eine Mitwirkung eines Benutzers ist dafür nicht erforderlich, der Angriff läuft also ohne Zutun von Administratoren oder Anwendern ab. Zudem beschränken sich die Auswirkungen nicht auf die betroffene Komponente selbst – die Ausnutzung kann über deren Grenzen hinaus auf weitere Teile des Systems wirken. Da ColdFusion typischerweise als Server für Webanwendungen eingesetzt wird, kann ein erfolgreicher Angriff dem Angreifer weitreichenden Zugriff auf den Server und die dort verarbeiteten Daten verschaffen.