Betroffen ist die Alarm-zu-E-Mail-Konfiguration der Danfoss AK-SM8xxA-Reihe, einer Steuerungs- und Überwachungslösung für Kälte- und Gebäudetechnik. Die in dieser Konfiguration eingetragenen Werte werden an eine Betriebssystem-Shell weitergereicht, ohne dass Sonderzeichen ausreichend bereinigt oder entschärft werden. Dadurch kann ein Angreifer, der sich zuvor erfolgreich am Gerät angemeldet hat, eigene Betriebssystembefehle in die Felder einschleusen. Diese werden beim Verarbeiten der Konfiguration vom System ausgeführt, sodass sich aus der Ferne beliebiger Code auf der Steuerung ausführen lässt. Da die Ausnutzung eine vorherige Authentifizierung voraussetzt, ist sie vor allem für Angreifer mit gestohlenen oder schwachen Zugangsdaten sowie für Nutzer mit eingeschränkten Rechten interessant, die ihre Befugnisse auf Systemebene ausweiten wollen. Gelingt der Angriff, ist die Kontrolle über die Steuerung und damit über die angebundenen technischen Anlagen gefährdet.