Betroffen ist der Kern des Content-Management-Systems Drupal. Dort werden Eingaben beim Erzeugen von Webseiten nicht ausreichend neutralisiert, sodass vom Angreifer kontrollierte Inhalte ungefiltert in die ausgelieferte Seite gelangen. Daraus ergibt sich eine Cross-Site-Scripting-Schwachstelle: Schadcode in Form von Skripten wird im Browser anderer Besucher oder Redakteure ausgeführt, und zwar im Sicherheitskontext der betroffenen Website. Auf diesem Weg lassen sich typischerweise Sitzungsdaten abgreifen, Aktionen im Namen angemeldeter Nutzer auslösen oder dargestellte Seiteninhalte manipulieren. Da der Defekt nicht in einem einzelnen Zusatzmodul, sondern im Drupal-Kern selbst liegt, sind grundsätzlich alle Installationen der betroffenen Produktlinien erfasst, unabhängig davon, welche Erweiterungen eingesetzt werden. Besonders folgenreich ist ein erfolgreicher Angriff, wenn er Konten mit administrativen Rechten trifft.