يمكن للمستأجر المصادق عليه تنفيذ تزوير الطلب من جانب الخادم (SSRF) عن طريق تسجيل قالب يشير إلى ملف metalink ضار يحتوي على أهداف داخلية، مما يسمح لآلة افتراضية للتخزين الثانوي باسترداد هذه البيانات والاحتفاظ بها. بالإضافة إلى ذلك، يمكن للمستأجر الذي يتمتع بدور المستخدم الافتراضي تنفيذ التعليمات البرمجية عن بُعد (RCE) بصفته الجذر على مضيف برنامج KVM hypervisor. يحدث هذا عندما يقوم مستخدم بتسجيل قالب آلة افتراضية مع تعيين المتغير `directDownload` على القيمة «true» وعنوان URL يشير إلى ملف .metalink؛ حيث يقوم خادم الإدارة بجلب ملف XML وإرسال عملية التنزيل إلى وكيل KVM دون إعادة التحقق من صحة عناوين URL الداخلية مقابل قائمة المواقع المسموح بها.