Betroffen sind SAP Business Planning and Consolidation sowie SAP Business Warehouse. In beiden Anwendungen werden Berechtigungen nicht ausreichend geprüft, bevor Datenbankabfragen ausgeführt werden. Dadurch kann ein Angreifer, der bereits über ein gültiges Benutzerkonto verfügt, speziell präparierte SQL-Anweisungen an das System übergeben und so die vorgesehenen Zugriffsgrenzen umgehen. Er kann dadurch Daten in der zugrunde liegenden Datenbank auslesen, verändern und löschen – also auch Informationen, für die sein Konto eigentlich keine Berechtigung besitzt. Da es sich um zentrale Systeme für Planung, Konsolidierung und Unternehmensberichtswesen handelt, sind davon typischerweise sensible Finanz- und Geschäftsdaten betroffen. Die Auswirkungen reichen von der Offenlegung vertraulicher Inhalte über die Manipulation von Datenbeständen bis hin zur Beeinträchtigung der Verfügbarkeit des Systems. Vertraulichkeit, Integrität und Verfügbarkeit sind gleichermaßen betroffen.