Die Schwachstelle betrifft ColdFusion und beruht auf einer unzureichenden Filterung von Sonderzeichen in SQL-Abfragen – einer klassischen SQL-Injection. Ein Angreifer kann dabei eigene Datenbankbefehle in Eingaben einschleusen, die von der Anwendung ungeprüft an die Datenbank weitergereicht werden. Die Folge geht über reine Datenmanipulation hinaus: Über den Fehler lässt sich beliebiger Code im Kontext des aktuellen Benutzers ausführen. Voraussetzung für die Ausnutzung sind hohe Berechtigungen im System; eine Interaktion durch einen Anwender ist dagegen nicht erforderlich, der Angriff läuft also ohne Zutun eines Opfers ab. Da sich der Wirkungsbereich des Angriffs über die ursprünglich betroffene Komponente hinaus verschiebt, können auch andere Teile des Systems beeinträchtigt werden. Betroffen sind Installationen der Anwendungsserver-Software ColdFusion.