Betroffen ist Adobe Experience Manager Forms JEE, eine Server-Komponente zur Erstellung und Verarbeitung von Formularen. Sie enthält eine Server-Side-Request-Forgery-Schwachstelle: Der Server lässt sich dazu bringen, Anfragen an Ziele zu senden, die der Angreifer vorgibt. Da diese Anfragen vom Server selbst ausgehen, greifen sie aus dessen Netzwerkposition heraus und können interne Systeme erreichen, die von außen nicht zugänglich sind. Ein Angreifer mit nur geringen Rechten kann dies ausnutzen, um sich erweiterten Zugriff auf interne Ressourcen zu verschaffen – es handelt sich also zugleich um eine Rechteausweitung. Eine Interaktion durch einen Benutzer ist dafür nicht erforderlich; der Angriff läuft allein durch die manipulierten Anfragen ab. Die Auswirkungen bleiben nicht auf die verwundbare Komponente beschränkt, sondern reichen in andere Sicherheitsbereiche hinein.