برنامه های کاربردی و API ها آسیب پذیر خواهند بود اگر آنها از اشیاء متخاصم یا دزدیده شده توسط مهاجم استفاده کنند. این می تواند به دو نوع اصلی حمات منجر شود:
• حمات مرتبط با ساختار داده ها و جایی که مهاجم منطق برنامه را تغییر می دهد یا اگر اشیاء موجود در برنامه وجود داشته باشد که می توانند رفتار را در طی یا پس از پایان دادن به کار تغییر دهند، اجرای کد دلخواه را اجرا می کند.
• داده ها را دستکاری می کند، مانند حمات مرتبط با کنترل دسترسی، که در آن ساختار داده های  موجود استفاده می شود اما محتوا تغییر می کند. 
Serialization ممکن است در برنامه های کاربردی برای:
• ارتباط از راه دور و اینترفیس )IPC / RPC)
• پروتکل های سیم، خدمات وب، کارگزاران پیام
• ذخیره سازی / پایداری
• پایگاه های داده، سرورهای ذخیره سازی، سیستم های فایل
• کوکی HTTP ،پارامترهای فرم HTML ،نشانه های تأیید API استفاده شود.

سناریو شماره 1 :برنامه React یک مجموعه از سرویس های مایکروسافت Boot Spring را فراخوانی می کند. برنامه نویسان سعی کردند اطمینان حاصل کنند که کد آنها تغییرناپذیر است. راه حل هایی که با آن روبرو شدیم، سریالی است و هر درخواست را به عقب و جلو منتقل می کند. یک مهاجم به امضای شی "R00 "اشاره می کند و از ابزار Killer Serial Java برای به دست آوردن اجرای کدهای راه دور در سرور برنامه استفاده می کند.
سناریو شماره 2 :یک انجمن PHP از پیاده سازی شیء برای ذخیره یک کوکی، حاوی شناسه کاربری کاربر، نقش، هش رمز عبور و حالت های دیگر استفاده می کند:
;"user":4:s;2:Mallory";i":7:s;1:i;132:i;0:i{:4:a
};"b6a8b3bea87fe0e05022f8f3c88bc960":32:s;3:i
یک مهاجم شیء سریالی را برای دادن امتیازات مدیریت خود تغییر می دهد:
;"admin":5:s;2:Alice";i":5:s;1:i;1:i;0:i{:4:a
};"b6a8b3bea87fe0e05022f8f3c88bc960":32:s;3:i