توجد ثغرة من نوع تزوير الطلبات عبر الخادم (SSRF) في مكون A2A الخاص بـ Apache Camel. يقوم `WebhookUrlValidator` بتصنيف مضيفات ويب هوك (webhook) لإشعارات الدفع بشكل غير متسق. تحديداً، يتم التحقق من المضيفات المكتوبة كعناوين IP حرفية مقابل قائمة بادئات لنطاق IPv6 المحلي الفريد fc00::/7، بينما يتم حل المضيفات المكتوبة كأسماء والتحقق منها باستخدام مسندات `InetAddress`. وبما أن هذه المسندات لا تغطي نطاق fc00::/7، يمكن لعنوان ويب هوك يتم حله إلى هذا النطاق تجاوز تدابير الحماية. يتيح ذلك للمهاجم التحكم في المتغير `TaskPushNotificationConfig.url` لإرسال طلبات HTTPS خارجية عمياء من عملية Camel إلى عناوين داخلية، مع إمكانية تضمين ترويسات التفويض (Authorization). بالإضافة إلى ذلك، كانت عملية التحقق المسبق تحظر بشكل خاطئ أي أسماء مضيفات تبدأ بـ fc أو fd، مثل fcm.googleapis.com، بغض النظر عما إذا كانت عناوين IP حرفية.