Die Schwachstelle steckt im Web Container des SAP NetWeaver Application Server Java. Ein Angreifer kann ohne vorherige Anmeldung eine speziell präparierte HTTP-Anmeldeanfrage senden und darin die Parameter manipulieren, die steuern, welche Datei vom Server eingebunden wird. Dadurch lässt sich aus dem vorgesehenen Verzeichnis ausbrechen (Path Traversal) und eine beliebige Datei des lokalen Systems zur Verarbeitung bringen. Je nachdem, welche Datei eingebunden wird, kann der Angreifer vertrauliche Informationen einsehen oder verändern oder Teile des Systems unbrauchbar machen und so die Verfügbarkeit beeinträchtigen. Betroffen sind damit alle drei Schutzziele: Vertraulichkeit, Integrität und Verfügbarkeit. Besonders kritisch ist, dass der Angriffsweg über die Anmeldefunktion führt und deshalb schon vor jeder Authentifizierung offensteht – überall dort, wo die Anwendung über das Netz erreichbar ist, genügt eine einzige manipulierte Anfrage.