O controle inadequado da geração de código, especificamente a injeção de código, permite que um invasor remoto autorizado execute código arbitrário através de uma rede. Isso é causado pela desserialização de dados não confiáveis através da função `DataSetSurrogateSelector`. Um invasor pode conseguir a execução remota de código no servidor enviando uma solicitação POST especialmente formatada contendo marcação WebPart maliciosa. Foram registrados incidentes de exploração real deste problema.