Betroffen ist Ivanti N-ITSM, eine Software für IT-Service-Management. Sie enthält eine Schwachstelle vom Typ Stored Cross-Site-Scripting: Ein Angreifer kann schädlichen Skriptcode dauerhaft in der Anwendung ablegen, etwa in einem Eingabefeld, dessen Inhalt später anderen Nutzern angezeigt wird. Ruft ein anderer Benutzer die präparierte Ansicht auf, wird der Code in dessen Browser im Kontext der Anwendung ausgeführt. Voraussetzung für den Angriff ist, dass der Angreifer über ein gültiges Konto verfügt und sich an der Anwendung anmelden kann; zusätzlich muss ein Opfer aktiv mit der manipulierten Inhaltsseite interagieren. Gelingt dies, kann der Angreifer begrenzte Informationen aus den Sitzungen anderer Benutzer abgreifen. Der Zugriff erfolgt über das Netzwerk, sodass auch entfernte, aber angemeldete Nutzer die Lücke ausnutzen können. Die Auswirkungen beschränken sich auf den Abfluss eingeschränkter Sitzungsinformationen.