Die Schwachstelle beruht auf einer fehlerhaften Konfiguration von Spring Security in SAP Commerce Cloud. Durch diese Fehlkonfiguration sind bestimmte Funktionen nicht ausreichend durch Zugriffsprüfungen geschützt, sodass sie auch ohne Anmeldung erreichbar sind. Ein Angreifer kann aus der Ferne und ohne gültige Zugangsdaten präparierte Eingaben einschleusen, die von der Anwendung verarbeitet und anschließend serverseitig als Code ausgeführt werden. Damit lässt sich beliebiger Code auf dem Server der E-Commerce-Plattform ausführen. In der Folge sind Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung umfassend bedroht: Der Angreifer kann gespeicherte Daten auslesen, etwa Kunden- und Bestelldaten, Inhalte und Abläufe manipulieren oder den Betrieb des Shops stören. Da für den Angriff weder Zugangsdaten noch eine Mitwirkung von Benutzern nötig sind, genügt der Netzwerkzugriff auf die betroffene Anwendung – bei öffentlich erreichbaren Shop-Systemen also der Zugriff aus dem Internet.