Der Fehler liegt im Application Server ABAP: Bei der Ausführung eines Befehls zur Berichtserstellung werden notwendige Berechtigungsprüfungen nicht durchgeführt. Ein Angreifer benötigt lediglich ein gültiges Benutzerkonto, also eine erfolgreiche Anmeldung am System; besondere Rechte sind nicht erforderlich. Ruft er diese Funktion gezielt auf, kann er Daten überschreiben, die einem anderen Benutzer gehören, und sich auf diesem Weg zusätzliche Rechte verschaffen. Die Auswirkungen liegen vor allem auf der Integrität der Anwendung: Informationen können unbemerkt verändert oder zerstört werden. Die Verfügbarkeit wird nur in geringem Maß beeinträchtigt, vertrauliche Daten lassen sich über diesen Weg nicht auslesen. Problematisch ist die Lücke besonders deshalb, weil die Trennung zwischen den Benutzern und ihren jeweiligen Datenbeständen aufgehoben wird – eine zentrale Schutzannahme in einem Mehrbenutzersystem, in dem viele Anwender mit unterschiedlichen Berechtigungen parallel arbeiten.