Betroffen ist GeoNetwork, eine Katalogsoftware zur Verwaltung räumlich referenzierter Daten. Der API-Endpunkt, über den neue Formatter per Datei-Upload angelegt werden, ist nicht abgesichert: Er prüft weder die Berechtigung des Aufrufers noch die Herkunft der übergebenen Dateien. Dadurch kann ein Angreifer ohne jede Anmeldung beliebige Formatter-Dateien – etwa XSL-Stylesheets oder ZIP-Archive – auf den Server hochladen und damit eigene Dateien in das Formatter-Verzeichnis der Anwendung schreiben. Bereits für sich genommen bedeutet das einen unbefugten Schreibzugriff auf den Serverspeicher: Ein Außenstehender kann Inhalte im Dateisystem der Anwendung ablegen oder vorhandene Formatter verändern. Da der Zugriff keinerlei Zugangsdaten und keine Benutzerinteraktion erfordert, ist jede aus dem Netz erreichbare Installation unmittelbar angreifbar. Der Hersteller hat den Endpunkt in neueren Programmständen abgesichert.