Betroffen ist SAP S/4HANA, genauer die Komponente SAP Enterprise Search für ABAP. Dort werden Eingaben, die ein Benutzer selbst bestimmen kann, ohne ausreichende Prüfung oder Bereinigung direkt in SQL-Abfragen eingefügt und an die darunterliegende Datenbank weitergereicht. Dadurch kann ein Angreifer, der bereits über gültige Zugangsdaten verfügt, eigene SQL-Anweisungen einschleusen. Gelingt dies, erhält er unberechtigten Zugriff auf sensible Datenbankinhalte und kann die Anwendung zudem zum Absturz bringen. Die Auswirkungen betreffen damit vor allem die Vertraulichkeit der gespeicherten Daten und die Verfügbarkeit des Systems; die Integrität der Daten bleibt nach Herstellerangaben unberührt. Da S/4HANA zentrale Geschäftsprozesse und damit besonders schützenswerte Unternehmensdaten verwaltet, wiegt ein unbefugter Datenbankzugriff hier besonders schwer – zumal die Suchfunktion typischerweise vielen angemeldeten Anwendern offensteht.