Betroffen sind der Webserver NGINX Open Source sowie dessen kommerzielle Variante NGINX Plus. Der Fehler tritt auf, wenn in der Konfiguration eine map-Direktive mit regulären Ausdrücken verwendet wird und die Capture-Variablen dieses regulären Ausdrucks in der root-Direktive oder im Format des Zugriffsprotokolls verwendet werden, bevor die eigentliche Ausgabevariable der map referenziert wird. Ein vergleichbarer Zustand lässt sich unter bestimmten Bedingungen auch über eine nicht zwischenspeicherbare Variable in einem Zeichenkettenausdruck erzeugen. Ein Angreifer ohne Zugangsdaten kann durch speziell präparierte HTTP-Anfragen einen Speicherüberlauf im Heap des Worker-Prozesses auslösen; dieser startet daraufhin neu, was zu einer Dienstverweigerung führt. Sind Schutzmechanismen gegen vorhersehbare Speicheradressen abgeschaltet oder lassen sie sich umgehen, ist zudem die Ausführung eigenen Codes denkbar. Die Ausnutzung hängt von Umständen ab, die der Angreifer nicht selbst steuern kann. Betroffen ist ausschließlich die Datenebene, nicht die Verwaltungsebene.