Betroffen ist der HTML5-Player von Kaltura (mwEmbed bzw. html5lib), der zum Einbetten von Videos in Webseiten dient. Der Fehler steckt im Loader-Skript des Players: Es akzeptiert eine vom Aufrufer frei wählbare Service-Adresse und verarbeitet die von dort gelieferte Antwort mit einer unsicheren Deserialisierung. Die Felder des so entstehenden Objekts werden anschließend in eine Cache-Datei geschrieben, deren Pfad aus einer ebenfalls vom Angreifer kontrollierten Konfigurationskennung zusammengesetzt wird – ohne dass der Pfad ausreichend geprüft wird. In Kombination kann ein Angreifer dadurch beliebige Dateien an über das Web erreichbaren Orten ablegen und eigenen Code mit den Rechten des Webserver-Benutzers ausführen. Eine Anmeldung ist dafür nicht erforderlich, der Angriff erfolgt aus der Ferne über die verwundbare Schnittstelle. Damit lässt sich der betroffene Webserver samt gehosteter Inhalte übernehmen oder als Ausgangspunkt für weitere Angriffe nutzen.