Die Schwachstelle betrifft Quay, eine Registry zur Verwaltung von Container-Images. Fehlerhaft ist die Funktion, die Robot-Konten auflistet. Das sind Dienstkonten für automatisierte Zugriffe. Für die Suche baut die Funktion aus dem Namen des Namespace ein SQL-LIKE-Muster zusammen. Platzhalterzeichen im Namen werden dabei nicht maskiert. Der Unterstrich hat in LIKE-Mustern eine Sonderbedeutung: Er steht für ein beliebiges einzelnes Zeichen. Ein Angreifer kann deshalb einen eigenen Namespace mit einem Unterstrich im Namen anlegen. Das Suchmuster passt dann auch auf Namespaces anderer Mandanten. So erhält der Angreifer deren Robot-Konten samt den entschlüsselten Authentifizierungs-Tokens. Mit diesen fremden Zugangsdaten kann er im Namen anderer Mandanten handeln, zum Beispiel unberechtigt Images abrufen oder verändern. Gefährdet sind vor allem Quay-Installationen, die von mehreren Mandanten gemeinsam genutzt werden.