Die Schwachstelle erlaubte es Angreifern, auf api.wordpress.org eigenen Code auszuführen und so auf etwa einem Viertel aller Websites weltweit beliebige Inhalte zu publizieren. Gefunden wurde sie von dem auf WordPress spezialisierten Unternehmen WordFence.
