Betroffen ist der SAP Approuter, der als vorgelagerte Komponente HTTP-Anfragen entgegennimmt und an dahinterliegende Anwendungen weiterleitet. Dort besteht eine Schwachstelle vom Typ HTTP Request Smuggling: Ein Angreifer kann eine besonders präparierte HTTP-Anfrage senden, die von den beteiligten Komponenten unterschiedlich ausgewertet wird. Dadurch gerät die Zuordnung von Anfragen und Antworten aus dem Takt – Antworten, die eigentlich für einen bestimmten Nutzer bestimmt sind, können einem anderen zugestellt werden. Auf diesem Weg gelangt ein Angreifer an fremde Antwortinhalte und damit an Daten anderer Benutzer. Zusätzlich lässt sich die Verarbeitung so stören, dass der Dienst nicht mehr erreichbar ist. Für den Angriff sind weder gültige Zugangsdaten noch eine Anmeldung erforderlich; die Anfrage genügt. Betroffen sind damit sowohl die Vertraulichkeit der übertragenen Daten als auch die Verfügbarkeit des Systems.