Die Schwachstelle betrifft APITable, eine Plattform für tabellenbasierte Datenverwaltung, die mehrere voneinander getrennte Arbeitsbereiche (Spaces) unterstützt. Es handelt sich um eine Umgehung der Autorisierung an der Schnittstelle, die Beschreibungen einzelner Knoten abruft. Fordert ein angemeldeter Benutzer die Beschreibung eines Knotens über dessen Kennung (nodeId) an, prüft die Anwendung weder, ob er Mitglied des zugehörigen Space ist, noch, ob er Rechte für diesen Knoten besitzt. Weil die Kennung frei vom Benutzer vorgegeben wird, kann ein Angreifer mit einem beliebigen gültigen Konto gezielt Knoten fremder Spaces abfragen. So kann er die Beschreibungen von Datenblättern, Ordnern und Formularen anderer Mandanten auslesen. Die Lücke betrifft also die Trennung zwischen den Mandanten und kann zur Preisgabe vertraulicher Informationen führen. Daten lassen sich darüber nur lesen, nicht verändern.