Die Schwachstelle liegt in der Paketverarbeitung von JFrog Artifactory, einer Verwaltungslösung für Software-Artefakte und Repositories. Beim Einlesen von Paketdaten werden serialisierte Inhalte unsicher wieder in Objekte umgewandelt (unsichere Deserialisierung). Dadurch kann bereits ein Benutzer mit geringen Rechten – also ein Konto ohne administrative Berechtigungen – unter bestimmten Repository-Konstellationen schädlich präparierte Inhalte einschleusen. Gelingt das, sind Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Umgebung beeinträchtigt: Angreifende können auf Daten zugreifen, Inhalte manipulieren oder den Dienst stören. Kritisch ist dabei die Rolle des Systems in der Software-Lieferkette: Artifactory verteilt Pakete und Build-Artefakte an nachgelagerte Entwicklungs- und Auslieferungsprozesse, sodass manipulierte Inhalte weitere Systeme erreichen können. Da eine – wenn auch niedrig privilegierte – Anmeldung nötig ist, sind vor allem Installationen mit vielen Nutzerkonten oder offener Registrierung betroffen.