Die Schwachstelle betrifft Adobe Campaign Classic, eine Software für die Planung und Durchführung von Marketingkampagnen. Das Programm bereinigt Sonderzeichen in Eingaben nicht korrekt, bevor es daraus SQL-Datenbankabfragen zusammensetzt. Dadurch lassen sich zusätzliche Datenbankbefehle einschleusen – eine klassische SQL-Injection. Die Folge geht über das Manipulieren von Daten hinaus: Ein Angreifer kann beliebigen Code im Kontext des aktuellen Benutzers ausführen und so die Kontrolle über betroffene Abläufe übernehmen. Voraussetzung für den Angriff sind allerdings bereits weitreichende Rechte im System; ein Angreifer muss also zuvor einen privilegierten Zugang erlangt haben. Eine Mitwirkung weiterer Nutzer ist nicht erforderlich, der Angriff läuft ohne Interaktion ab. Zudem bleiben die Auswirkungen nicht auf die verwundbare Komponente beschränkt, sondern können auf andere Bereiche des Systems übergreifen. Gefährdet sind damit die in der Kampagnendatenbank gespeicherten Kunden- und Kontaktdaten sowie der Server selbst.