توجد ثغرة تزوير طلب من جانب الخادم (SSRF) تسمح للمهاجمين غير المصرح لهم بتجاوز سياسة URL الصادرة لـ MCP. يتم ذلك باستخدام عناوين IPv6 المحددة لـ IPv4، حيث يقوم المهاجمون بتزويد عناوين معيارية سداسية عشرية مثل `::ffff:7f00:1` مباشرة أو عبر عمليات إعادة التوجيه. يتيح ذلك جلب خدمات loopback والخدمات الخاصة وخدمات بيانات cloud الوصفية وقراءة استجاباتها.