Die Schwachstelle steckt in der Funktion für Spendenberichte (Giving Reports) von Ellucian Advance Web und Legacy Advance, einer Software zur Verwaltung von Förderer- und Spendendaten im Hochschulumfeld. Eine Eingabe im Feld für die Klassen- bzw. Jahrgangszuordnung (class credit) wird nicht ausreichend geprüft, bevor sie in eine Datenbankabfrage übernommen wird. Dadurch kann ein Angreifer, der bereits über ein gültiges Benutzerkonto verfügt, eigene SQL-Befehle einschleusen – eine klassische SQL-Injection. Auf diesem Weg lassen sich Inhalte aus der dahinterliegenden Datenbank auslesen, die für den Angreifer eigentlich nicht bestimmt sind, darunter potenziell personenbezogene und finanzielle Daten von Spendern und Alumni. Betroffen sind alle Ausgaben der beiden genannten Produktlinien; das separate Produkt Ellucian CRM Advance ist nach Herstellerangaben nicht betroffen.