Die Schwachstelle liegt in der Grafikkomponente für WebGL-Canvas-Inhalte von Firefox und Thunderbird. Dort greift die Site-Isolation nicht zuverlässig – also jener Schutzmechanismus, der Inhalte verschiedener Websites strikt voneinander trennt, damit eine Seite weder auf Daten noch auf Speicherbereiche einer anderen zugreifen kann. Da die Verarbeitung von WebGL-Inhalten über die Grafikschnittstelle des Systems läuft und aus dem Web heraus angestoßen werden kann, genügt bereits das Aufrufen einer präparierten Seite beziehungsweise das Anzeigen entsprechend aufbereiteter Inhalte im Mail-Programm, um die Trennung zu unterlaufen. Ein Angreifer kann so die Grenze zwischen den Ursprüngen überschreiten und an Informationen gelangen, die einer anderen Website vorbehalten sein sollten. Betroffen sind sowohl die regulären Ausgaben als auch die Versionen mit verlängertem Support beider Programme.