Betroffen ist die Webmail-Software Roundcube, genauer das Plugin virtuser_query, das Datenbankabfragen zur Auflösung von Benutzer- bzw. Mailadressen durchführt. Bei der Verarbeitung von Eingaben werden Backslash-Escapes über eine Ersetzungsfunktion für reguläre Ausdrücke nicht korrekt behandelt, sodass sich die vorgesehene Maskierung von Sonderzeichen umgehen lässt. Dadurch kann ein Angreifer eigene SQL-Fragmente in die Datenbankabfrage einschleusen. Der Angriff setzt keine gültige Anmeldung voraus, sondern ist bereits vor der Authentifizierung möglich – also von jedem, der die Anmeldeseite des Webmailers erreichen kann. Über eine solche SQL-Injektion lassen sich Datenbankinhalte auslesen oder verändern, was je nach Konfiguration bis zur Kompromittierung von Konten und gespeicherten Nachrichten führen kann. Besonders exponiert sind Installationen, deren Weboberfläche aus dem Internet erreichbar ist und bei denen das genannte Plugin aktiviert ist.