Betroffen ist SAP Commerce Cloud. In der Installation kann ein OAuth2-Beispielclient zurückbleiben, dessen Zugangsdaten aus einer Beispielkonfiguration der Hersteller-Dokumentation stammen und damit öffentlich bekannt sind. Wird dieser Beispielclient nicht entfernt oder geändert, kann ein Angreifer ohne eigene Benutzerkonten und ohne vorherige Anmeldung diese allgemein bekannten Zugangsdaten verwenden, um ein gültiges Zugriffstoken zu erhalten. Mit diesem Token lassen sich bestimmte Schnittstellen der Anwendung aufrufen, über die Daten gelesen und verändert werden können. Die Folgen betreffen vor allem die Vertraulichkeit und die Integrität der gespeicherten Daten – Angreifer können also sowohl schützenswerte Informationen einsehen als auch Inhalte manipulieren. Die Verfügbarkeit des Systems wird dagegen nicht beeinträchtigt. Der Kern des Problems ist keine Programmierfehlfunktion, sondern eine unsichere Standard- beziehungsweise Beispielkonfiguration, die im produktiven Betrieb bestehen bleibt.