Die Schwachstelle liegt in Azure Logic Apps und beruht auf einer unzureichenden Beschränkung von Pfadangaben auf ein vorgesehenes Verzeichnis. Ein Angreifer kann dadurch mit präparierten Pfadangaben aus dem eigentlich zulässigen Bereich ausbrechen und auf Dateien oder Ressourcen zugreifen, die für ihn nicht vorgesehen sind (sogenannter Path Traversal). Ausnutzbar ist der Fehler über das Netzwerk, ohne dass eine entsprechende Berechtigung vorliegen muss. Im Ergebnis kann ein nicht autorisierter Angreifer seine Rechte ausweiten und Aktionen mit höheren Privilegien ausführen, als ihm zustehen. Betroffen sind Umgebungen, die den Dienst zur Automatisierung und Verknüpfung von Arbeitsabläufen nutzen; da solche Workflows häufig Zugriff auf angebundene Systeme und Zugangsdaten haben, kann eine Rechteausweitung weitreichende Folgen für die verbundenen Ressourcen haben.