O Java Message Service (JMS) no broker não restringe as classes que podem ser serializadas, levando a uma desserialização insegura. Esta falta de validação de entrada permite que um invasor remoto execute código arbitrário enviando um objeto `ObjectMessage` serializado especialmente criado.