بعضی قالب‌ها فقط داده را توصیف نمی‌کنند، بلکه می‌گویند برای ساختن دوباره کدام تابع صدا زده شود. اگر مهاجم بایت‌ها را کنترل کند، تابع را او انتخاب می‌کند. قالب‌های داده‌ی ساده مثل JSON همراه با schema validation این مشکل را ندارند. نگاه کنید به pickle.