Betroffen ist Adobe Campaign Classic, eine Software für die Planung und Durchführung von Marketingkampagnen. Die Anwendung bereinigt Sonderzeichen nicht ausreichend, bevor sie Eingaben an Betriebssystembefehle weitergibt. Dadurch entsteht eine Befehlsinjektion: Ein Angreifer kann eigene Steuerzeichen einschleusen und so erreichen, dass das System zusätzliche, von ihm vorgegebene Befehle ausführt. Für den Angriff genügen bereits geringe Rechte; eine Mitwirkung oder Unachtsamkeit eines Benutzers ist nicht erforderlich, der Angriff läuft also ohne jedes Zutun der Opfer ab. Der eingeschleuste Code wird im Kontext des aktuellen Benutzers ausgeführt. Da sich der Wirkungsbereich des Angriffs ändert, kann die Ausnutzung über die ursprünglich betroffene Komponente hinaus Auswirkungen auf weitere Teile des Systems haben. Praktisch bedeutet das: Ein Konto mit eingeschränkten Berechtigungen reicht aus, um beliebigen Code auf dem Server der Kampagnensoftware auszuführen und damit auf dort verarbeitete Daten zuzugreifen oder sie zu verändern.