O componente `camel-hazelcast` não aplica um `JavaSerializationFilterConfig` às instâncias do Hazelcast criadas através de caminhos de configuração específicos. Isso ocorre quando o `ReplicatedHazelcastAggregationRepository` sobrescreve a função `doStart()` sem chamar o método super, e quando o `HazelcastDefaultComponent#getOrCreateHzClientInstance()` constrói um `ClientConfig` enquanto o `hazelcastMode` está definido como `client` sem um `ClientConfig` referenciado ou `hazelcastConfigUri`. Consequentemente, a desserialização Java permanece irrestrita. Um invasor capaz de publicar dados no cluster Hazelcast conectado pode disparar a desserialização de um objeto Java manipulado na camada de serialização, resultando em execução remota de código. Este risco é ampliado pois os clusters Hazelcast não habilitam autenticação ou TLS por padrão.