Die Schwachstelle betrifft JetBrains TeamCity, einen Server für Continuous Integration und Build-Automatisierung. Build-Konfigurationen lassen sich dort per Kotlin-DSL beschreiben, also durch Skriptcode, der eigentlich in einer abgeschotteten Umgebung (Sandbox) ausgeführt wird. Diese Abschottung lässt sich umgehen: Ein Angreifer kann aus der Sandbox ausbrechen und eigenen Code auf dem TeamCity-Server ausführen. Damit reicht die Wirkung über die eigentliche Build-Definition hinaus – betroffen ist der Server selbst und potenziell alles, worauf er Zugriff hat, etwa Quellcode, Zugangsdaten für Repositories und Deployment-Ziele sowie erzeugte Artefakte. Da Build-Server typischerweise weitreichende Berechtigungen in der Entwicklungs- und Auslieferungskette besitzen, kann eine solche Codeausführung als Ausgangspunkt für Angriffe auf die gesamte Software-Lieferkette dienen.