Die Schwachstelle steckt in ConfigServer Security & Firewall (CSF), einer verbreiteten Firewall- und Login-Schutz-Software für Linux-Server, die häufig zusammen mit Webhosting-Oberflächen eingesetzt wird. Ursache ist eine fehlerhafte Maskierung der angefragten URL: Von außen übergebene Bestandteile einer Anfrage werden nicht korrekt entschärft, bevor sie in einen Shell-Aufruf übernommen werden. Dadurch kann ein Angreifer eigene Befehle in die Kommandozeile einschleusen (Command Injection). Der Angriff ist aus der Ferne möglich und erfordert weder eine Anmeldung noch eine Interaktion eines Nutzers. Die eingeschleusten Befehle werden mit den Rechten des CSF-Dienstkontos ausgeführt, womit ein Angreifer weitreichenden Zugriff auf den betroffenen Server erlangen kann. Betroffen sind sowohl die ursprünglich von ConfigServer verteilten Ausgaben als auch gepflegte Abspaltungen, die den fehlerhaften Code enthalten; weitere unabhängig gepflegte Varianten sollten gesondert geprüft werden.