Betroffen ist Adobe Campaign Classic, eine Software zur Planung und Durchführung von Marketing-Kampagnen. Die Anwendung kontrolliert nicht ausreichend, wie Code erzeugt und verarbeitet wird. Dadurch kann ein Angreifer eigenen Programmcode einschleusen, den die Anwendung anschließend ausführt – eine sogenannte Code-Injection. Der Code läuft dabei im Kontext des aktuellen Benutzers. Für den Angriff genügen bereits geringe Berechtigungen; ein Angreifer mit einem einfachen Konto kann die Lücke also missbrauchen. Eine Mitwirkung eines Opfers, etwa das Öffnen einer Datei oder das Anklicken eines Links, ist nicht erforderlich. Hinzu kommt, dass sich die Auswirkungen über die unmittelbar betroffene Komponente hinaus erstrecken können, also auch Bereiche außerhalb des ursprünglichen Rechtebereichs betreffen. In der Folge kann ein Angreifer das System manipulieren, auf verarbeitete Daten zugreifen oder weitere Schritte im Netzwerk vorbereiten.