In SAP ERP sowie SAP S/4HANA in den Betriebsvarianten Private Cloud und On-Premise fehlt an einer Stelle die Prüfung der Berechtigungen. Ein Angreifer, der bereits über ein gültiges Benutzerkonto im System verfügt, kann einen bestimmten ABAP-Report aufrufen und darüber beliebige vorhandene ausführbare ABAP-Reports überschreiben, deren Name aus acht Zeichen besteht – ohne dass er dafür die eigentlich erforderliche Berechtigung besitzen müsste. Wird ein so überschriebener Report später regulär gestartet, steht seine ursprüngliche Funktion nicht mehr zur Verfügung. Die Folge ist in erster Linie eine Beeinträchtigung der Verfügbarkeit betroffener Geschäftsfunktionen; zusätzlich ist die Integrität eingeschränkt betroffen, allerdings begrenzt auf den jeweils überschriebenen Report. Vertrauliche Daten werden durch diesen Fehler nicht offengelegt. Betroffen sind Organisationen, die diese SAP-Systeme selbst betreiben und in denen viele Anwender über Anmeldemöglichkeiten verfügen.