Betroffen ist das WordPress-Plugin wpDataTables, das Datentabellen und Tabellendiagramme in Webseiten einbindet. In der Methode zur Aufbereitung der Zellenausgabe werden Eingaben unzureichend gefiltert und Ausgaben nicht korrekt maskiert. Das gilt für die Spaltentypen Link, Bild und E-Mail. Dadurch kann ein Angreifer ohne eigenes Benutzerkonto beliebigen Skriptcode einschleusen, der dauerhaft in der Seite gespeichert wird und im Browser jedes Besuchers ausgeführt wird, der die betroffene Seite aufruft – ein sogenanntes Stored Cross-Site Scripting. Voraussetzung ist, dass ein Administrator dazu verleitet wird, Daten aus einer vom Angreifer kontrollierten Quelle zu importieren, und dass die genannten Spaltentypen in der Tabelle konfiguriert sind. Über eingeschleusten Code lassen sich unter anderem Sitzungsdaten abgreifen, Inhalte manipulieren oder Besucher auf fremde Seiten umleiten.