يفشل برنامج تنزيل الأيقونات في تطبيق فحص `should block host()` على المضيف في المرحلة الثانية عند معالجة روابط favicon التي يتم تحليلها من HTML يتحكم فيه المهاجم ويتم تمريرها إلى `get page with referer()`. يسمح هذا لمهاجم عن بُعد غير مصرح له باستخدام رابط IP-literal في favicon لتجاوز تسوية المضيف وإجبار الخادم على الوصول إلى عناوين loopback أو عناوين خاصة وداخلية. تحدث هذه المشكلة في المثيلات التي تم فيها تمكين تنزيل الأيقونات الداخلية، ويمكن أن تؤدي إلى كشف استجابات داخلية أو الكشف عن إمكانية الوصول إلى الشبكة الداخلية من خلال التوقيت والحالة وسلوك التخزين المؤقت.