Interneto naršyklėse numatyta galimybė paimti kompiuterio rinkmeną ir išsiųsti jos turinį internetu. Saugumo sumetimais vartotojas pats turi įrašyti siunčiamos rinkmenos pavadinimą ar paspaudęs mygtuką „Naršyti“ („Browse“) nurodyti rinkmeną. Interneto naršyklės neleis puslapio kode esantiems pusprogramiams automatiškai sugeneruoti rinkmenos vardo ir išsiųsti. Tačiau tik tol, kol rinkmenos vardo nerašo pats vartotojas.
Anot spragą aptikusio Michalo Zalewskio, įsilaužėliai gali sukurti duomenų įvedimo lauką, kuriame gali paprašyti vartotojo įvesti kokį nors beprasmį tekstą. Tačiau jei tekste bus iš eilės pateiktas visas rinkmenos pavadinimas, puslapyje veikiantis pusprogramis sugebės išsirinkti jam reikiamus simbolius. Norėdami įsitikinti „Internet Explorer“ pažeidžiamumu, atverskite šį puslapį, o „Firefox“ programai yra pritaikytas šis puslapis.
Abiejuose pavyzdžiuose vartotojo prašoma parašyti beprasmį tekstą „C:\ is my boot drive. Incidentally, I like cheese.“ arba „I will never find a date. Thanks to computers and books :\“. Tačiau iš šių simbolių puslapio pusprogramis gali išsirinkti „c:\boot.ini“ ir parodyti „Windows“ įkrovos konfigūracijos rinkmenos turinį. Žinoma, ši demonstracija veiks tik „Windows NT“ šeimos sistemose, tačiau analogišką pusprogramį galima parašyti „*NIX“ sistemoms ir pavogti /etc/password ar kitos svarbios rinkmenos duomenis. Ši saugumo spraga pavojinga IE7, IE6, IE5 ir 1.5 bei 2.0 versijų „Firefox“ naršyklių vartotojams. Tiesa, „Microsoft“ teigia, kad ši spraga „Vista“ sistemoje neveikia.
Nors būtinas vartotojo įsikišimas, ši spraga gali būti išties pavojinga. Kompiuterių vartotojus įtikinti padaryti kokią nors saugumo kvailystę yra labai nesunku, o apgauti – dar lengviau. Kai kuriose interaktyviose svetainėse prašoma įvesti patvirtinimo kodą. Ilgame patvirtinimo kode įsilaužėliai gali užmaskuoti jiems reikiamą rinkmeną.