Una catena di gadget di deserializzazione è una sequenza di metodi, callback o hook di oggetti raggiungibili che trasforma la ricostruzione di un oggetto in esecuzione di codice non prevista. Durante la deserializzazione, un programma ricostruisce gli oggetti dai byte; se il runtime ha caricati i componenti giusti, i dati controllati dall'attaccante possono fluire attraverso normali metodi che non erano mai destinati a essere barriere di sicurezza.
Questo è importante perché consente a una singola chiamata di deserializzazione non sicura di diventare esecuzione di codice da remoto senza un bug di corruzione della memoria. In pratica, gli attaccanti cercano librerie e codice applicativo che espongano