يقوم الملحق بتمرير ملف تعريف ارتباط (cookie) يتحكم فيه المهاجم مباشرةً إلى دالة `unserialize()` دون معالجته بطريقة آمنة. يمكن لمهاجم بعيد غير مصدق عليه تقديم حمولة متسلسلة مصممة خصيصًا لتشغيل حقن كائنات PHP، مما يسمح بتنفيذ التعليمات البرمجية عن بُعد على خادم TYPO3. تحدث هذه المشكلة عندما يتم تكوين عنصر المحتوى بـ ”الوضع الدائم: ثابت“ في إعدادات المكون الإضافي. تم فهرسة أكثر من 294,700 موقع يستخدم نظام إدارة المحتوى TYPO3 بواسطة FOFA خلال العام الماضي.