Es handelt sich um eine SQL-Injection-Schwachstelle in Azure SQL Database: Sonderzeichen und Steuerelemente, die in SQL-Anweisungen eine besondere Bedeutung haben, werden vor der Verarbeitung nicht ausreichend neutralisiert. Dadurch kann ein Angreifer, der bereits über gültige Zugangsdaten beziehungsweise eine Berechtigung für den Dienst verfügt, eigene Datenbankbefehle in reguläre Abfragen einschleusen. Diese Befehle werden anschließend vom Datenbanksystem ausgeführt, als stammten sie von einer legitimen Anwendung. Der Angriff erfolgt über das Netzwerk und führt zu einer Rechteausweitung: Der Angreifer erhält Befugnisse, die ihm eigentlich nicht zustehen, und kann damit auf Daten und Funktionen zugreifen oder diese verändern, die außerhalb seines vorgesehenen Berechtigungsrahmens liegen. Betroffen sind Umgebungen, in denen der Datenbankdienst genutzt wird und Angreifer mit einem einfachen, legitimen Zugang ihre Rechte bis hin zu weitreichender Kontrolle steigern können.