Microsoft Exchange Server bereinigt Eingaben bei der Erzeugung von Webseiten nicht ausreichend. Dadurch lässt sich fremder Skriptcode in die ausgelieferten Inhalte einschleusen (Cross-Site-Scripting). Ein Angreifer ohne entsprechende Berechtigung kann diese Schwäche über das Netzwerk ausnutzen und damit Spoofing betreiben, also Inhalte oder Identitäten vortäuschen und Nutzer der Weboberfläche täuschen. Da der eingeschleuste Code im Browser der Betroffenen im Kontext des vertrauenswürdigen Exchange-Servers ausgeführt wird, können vorgetäuschte Anzeigen, manipulierte Seiteninhalte oder das Abgreifen von Sitzungsinformationen die Folge sein. Betroffen sind Umgebungen, in denen die Weboberfläche des Mailservers für Anwender erreichbar ist – typischerweise ein zentraler, häufig auch aus dem Internet zugänglicher Dienst.