Betroffen ist das Zusatzmodul Entity List für das Content-Management-System Drupal. Das Modul wertet Eingaben aus, die von außen beeinflusst werden können, und nutzt sie, um über sogenannte Reflection zur Laufzeit Klassen oder Code auszuwählen und zu laden. Da diese Auswahl nicht ausreichend geprüft wird, kann ein Angreifer steuern, welcher Programmcode tatsächlich zur Ausführung kommt – eine als Reflection Injection bezeichnete Schwachstellenklasse. In der Folge lässt sich das vorgesehene Verhalten der Anwendung umgehen und es können Programmteile angesprochen werden, die für den Angreifer eigentlich nicht erreichbar sein sollten; je nach verfügbaren Klassen kann das bis zur Ausführung fremden Codes im Kontext der Website führen. Betroffen sind Drupal-Installationen, die dieses Modul einsetzen; der Angriff erfolgt über manipulierte Eingabewerte an die verwundbare Funktion.