Die Schwachstelle betrifft Adobe Campaign Classic und besteht in einer sogenannten reflektierten Cross-Site-Scripting-Lücke. Dabei übernimmt die Anwendung Eingaben aus einer Anfrage ungeprüft in die ausgelieferte Webseite, sodass ein Angreifer eigenen Schadcode einschleusen kann, der anschließend im Browser des Opfers ausgeführt wird. Der Angriff funktioniert nicht von allein: Das Opfer muss zuvor einen speziell präparierten Aufruf öffnen oder mit einer manipulierten Webseite interagieren. Gelingt das, läuft der eingeschleuste Code im Kontext der angemeldeten Sitzung. Dadurch kann der Angreifer auf das Konto des Opfers zugreifen, dessen Sitzung übernehmen oder erweiterte Rechte innerhalb der Anwendung erlangen. Die Auswirkungen beschränken sich dabei nicht auf die Anwendung selbst, sondern können auch über deren ursprünglichen Sicherheitsbereich hinausreichen. Gefährdet sind vor allem Anwenderinnen und Anwender mit administrativen oder weitreichenden Berechtigungen in der Kampagnenverwaltung.