Betroffen ist Adobe Campaign Classic, eine Software für die Planung und Durchführung von Marketingkampagnen. In der Anwendung werden Eingaben, die in SQL-Datenbankabfragen einfließen, nicht ausreichend bereinigt. Dadurch kann ein Angreifer eigene Steuerzeichen und Befehlsbestandteile einschleusen und so beliebige SQL-Kommandos auf der dahinterliegenden Datenbank ausführen – eine klassische SQL-Injection. In der Folge lässt sich Code im Kontext des aktuell angemeldeten Benutzers ausführen. Der Angreifer kann sich auf diesem Weg erweiterte Rechte verschaffen und das Konto beziehungsweise die Sitzung des Opfers übernehmen. Eine Mitwirkung des Nutzers ist für den Angriff nicht erforderlich, der Angriff läuft also ohne Klick oder sonstiges Zutun ab. Zudem bleiben die Auswirkungen nicht auf die verwundbare Komponente beschränkt, sondern reichen darüber hinaus – betroffen sind damit auch die in der Kampagnensoftware verwalteten Kunden- und Kontaktdaten.