Betroffen ist Adobe Campaign Classic, eine Software für die Planung und Durchführung von Marketing-Kampagnen. Die Anwendung bereitet Eingaben, die in Datenbankabfragen einfließen, nicht korrekt auf: Sonderzeichen werden nicht ausreichend entschärft, sodass sich zusätzliche SQL-Befehle in eine Abfrage einschleusen lassen. Diese klassische SQL-Injection führt dazu, dass Sicherheitsmechanismen der Anwendung umgangen werden können. Ein Angreifer benötigt lediglich geringe Rechte im System; eine Mitwirkung oder Unachtsamkeit eines Benutzers ist nicht erforderlich. Gelingt der Angriff, erhält er unbefugten Lesezugriff auf Daten in der Datenbank und kann Daten in begrenztem Umfang auch verändern. Da die Auswirkungen über die eigentlich verwundbare Komponente hinausreichen, können auch Bereiche betroffen sein, die außerhalb des ursprünglichen Rechtebereichs des Angreifers liegen. Praktisch relevant ist das vor allem, weil in solchen Kampagnensystemen umfangreiche Kunden- und Kontaktdaten gespeichert sind.