Betroffen ist Adobe Campaign Classic, eine Software für die Planung und Durchführung von Marketingkampagnen. Die Anwendung bereinigt Sonderzeichen in Eingaben, die in SQL-Datenbankabfragen einfließen, nicht ausreichend. Dadurch kann ein Angreifer eigene Datenbankbefehle in reguläre Abfragen einschleusen – eine klassische SQL-Injection. Die Folgen gehen über den Datenbankzugriff hinaus: Über die eingeschleusten Anweisungen lässt sich beliebiger Code im Kontext des aktuell angemeldeten Benutzers ausführen, sodass der Angreifer dessen Rechte auf dem System übernimmt. Eine Interaktion durch einen Benutzer ist für den Angriff nicht erforderlich. Allerdings hängt eine erfolgreiche Ausnutzung von Rahmenbedingungen ab, die der Angreifer nicht selbst beeinflussen kann. Da die Auswirkungen nicht auf die verwundbare Komponente beschränkt bleiben, können auch andere Teile der betroffenen Umgebung in Mitleidenschaft gezogen werden. Gefährdet sind Organisationen, die diese Kampagnenmanagement-Software betreiben, insbesondere mit den dort verarbeiteten Kunden- und Kontaktdaten.