Betroffen ist die Robotersteuerungssoftware PolyScope von Universal Robots, genauer deren Dashboard-Server-Schnittstelle. Diese Schnittstelle prüft übergebene Eingaben nicht ausreichend, sodass sich darin Betriebssystembefehle einschleusen lassen – eine klassische OS-Command-Injection. Ein Angreifer muss sich dafür nicht anmelden: Es genügt, speziell präparierte Kommandos an die Schnittstelle zu senden. Diese werden anschließend vom zugrunde liegenden Betriebssystem des Roboters ausgeführt. Damit kann fremder Code direkt auf der Steuerung laufen, was dem Angreifer weitreichenden Zugriff auf das Gerät verschafft. Da es sich um einen Industrieroboter handelt, betrifft eine solche Übernahme nicht nur Daten, sondern auch die physische Steuerung der Maschine und damit potenziell Produktionsabläufe und die Sicherheit von Personen in der Umgebung. Besonders gefährdet sind Anlagen, bei denen die Dashboard-Schnittstelle aus dem Netzwerk erreichbar ist.