Les vulnérabilités liées à la désérialisation sont souvent difficiles à exploiter. Dans la plupart des cas, il faut accéder au code source pour identifier les classes disponibles ou les bibliothèques utilisées. Cela permet de choisir une « gadget chain » adaptée ou d’en construire une nouvelle.
Cependant, l’accès au code source n’est pas toujours possible. Il demande généralement des privilèges élevés, ou l’exploitation préalable d’une autre faille.