A validação inadequada de entrada e o controle impróprio da geração de código levam a um problema de injeção de código. O Apache ActiveMQ Classic expõe a ponte Jolokia JMX-HTTP no endpoint '/api/jolokia/' no console web. A política de acesso padrão permite operações de execução em todos os MBeans do ActiveMQ, especificamente a função `addNetworkConnector(String)` dentro do `BrokerService`. Um invasor autenticado pode usar uma URI de descoberta manipulada para acionar o parâmetro `brokerConfig` do transporte VM via uma URL "masterslave://". Isso permite o carregamento de um contexto de aplicação Spring XML usando `ResourceXmlApplicationContext`. Como esse contexto instancia beans singleton antes que a configuração seja validada, código arbitrário pode ser executado na JVM do broker por meio de métodos de fábrica de beans, como `Runtime.exec()`.