توجد مشكلة تتعلق بتزوير الطلبات من جانب الخادم (SSRF) في وظيفة إرسال طلبات الزحف. يمكن لمستخدم مصدق عليه ذي امتيازات منخفضة إرسال عناوين URL عشوائية للزحف بسبب عدم كفاية التحقق من صحة المضيف الوجهة. وهذا يسمح لبرنامج الزحف بإجراء طلبات HTTP(S) مباشرة إلى عناوين مقيدة، مثل عناوين loopback، والشبكات الخاصة RFC1918، وعناوين link-local، وخدمات البيانات الوصفية السحابية مثل 169.254.169.254. تتجاوز مهام الزحف اليدوية القائمة السوداء للمجالات لأنها تُخصص لها أولوية غير صفرية، ويتم جلب عناوين IP الحرفية مباشرةً بدلاً من استخدام وكيل. يمكن للمهاجم استخدام الخادم كنقطة محورية في الشبكة للوصول إلى الخدمات الداخلية. ونظرًا لأن واجهة أداة الزحف تتيح الوصول إلى كود HTML الناتج ولقطات الشاشة وبيانات HAR، فإن ثغرة SSRF هذه ليست «عمياء»، مما قد يؤدي إلى الكشف عن البيانات الداخلية الحساسة أو معلومات الخدمة أو بيانات اعتماد مثيلات السحابة.