Betroffen ist IBM Langflow OSS. Die Software bereinigt Sonderzeichen, die in Betriebssystembefehlen eine besondere Bedeutung haben, nicht ausreichend, bevor sie in einen Befehlsaufruf übernommen werden. Dadurch kann ein Angreifer eigene Befehlsbestandteile einschleusen, die vom zugrunde liegenden System ausgeführt werden – eine klassische Befehlsinjektion. Der Angriff ist aus der Ferne möglich und erlaubt die Ausführung beliebigen Codes auf dem betroffenen System. Gelingt dies, kann der Angreifer Daten auslesen oder verändern, weitere Schadsoftware nachladen und den Server als Ausgangspunkt für Angriffe im internen Netz nutzen. Besonders exponiert sind Installationen, deren Dienst über das Netzwerk oder sogar aus dem Internet erreichbar ist.