Java Object Deserialization

Статья о том, что любой вызов Intent - десериализация

https://securitylab.github.com/research/android-deserialization-vulnerabilities

+ на github есть пок в stars

Атакам связанным с десериализацией подвержены только Java приложения. В Kotlin все сделано "по белым спискам"