Die Schwachstelle steckt in der Browser-Erweiterung von N-able PassPortal, einer Lösung zur Verwaltung und Ablage von Passwörtern. Die Erweiterung verarbeitet Nachrichten, die über den Browser-Mechanismus postMessage von Webseiteninhalten an sie gesendet werden, ohne deren Herkunft ausreichend zu prüfen. Dadurch kann eine vom Angreifer kontrollierte oder manipulierte Webseite gezielt Nachrichten an die Erweiterung schicken und sich auf diesem Weg das sogenannte Vault-Token aushändigen lassen – also den Schlüssel, mit dem der Zugriff auf den Passwort-Tresor des angemeldeten Nutzers autorisiert wird. Mit diesem Token kann der Angreifer die Authentifizierung missbrauchen und sich gegenüber dem Dienst als der legitime Nutzer ausgeben, ohne dessen Zugangsdaten zu kennen. Betroffen sind Anwender, die die PassPortal-Browsererweiterung einsetzen; da in solchen Tresoren typischerweise die Zugangsdaten ganzer Umgebungen liegen, reicht die Wirkung weit über den einzelnen Arbeitsplatz hinaus.