A vulnerabilidade permite que um invasor remoto exclua arquivos arbitrários no host, desde que o processo em execução tenha direitos suficientes, manipulando o fluxo de entrada processado. Isso pode ser feito durante a desmarcação, explorando a falta de medidas de segurança adequadas na biblioteca XStream. Nenhum usuário será afetado se tiver configurado a Estrutura de Segurança do XStream com uma lista de permissões. A vulnerabilidade não existe ao executar o Java 15 ou superior.