معمولاً از کد merge یا کپی بازگشتی می‌آید که به کلیدهای JSON اعتماد می‌کند. اعتبارسنجی ورودی به یک شیء تازه با شکل مشخص، کلیدهایی را که اعلام نکرده‌اید حذف می‌کند.
Prototype pollution
باگی در جاوااسکریپت که در آن کلیدهای زیر کنترل مهاجم مثل __proto__ prototype شیءها را عوض می‌کنند و شیءهای نامرتبط ناگهان ویژگی اضافه پیدا می‌کنند.