Каждый сервер Apache Dubbo устанавливает идентификатор сериализации, чтобы сообщить клиентам, какой протокол сериализации он использует. Но для версий Dubbo до 2.7.8 или 2.6.9 злоумышленник может выбрать, какой идентификатор сериализации будет использовать Provider, подделав байтовые флаги преамбулы, то есть не следуя инструкциям сервера. Это означает, что если в области кода каким-то образом окажется слабый десериализатор, такой как Kryo и FST (например, если Kryo каким-то образом является частью зависимости), удаленный не прошедший проверку подлинности злоумышленник может указать Provider использовать слабый десериализатор, а затем продолжить его эксплуатацию.