Uma falha de Server-Side Request Forgery (SSRF) no componente A2A do Apache Camel ocorre porque o `WebhookUrlValidator` classificava hosts de webhook de notificação push de forma inconsistente. Hosts fornecidos como literais de IP eram verificados contra uma lista de prefixos para a faixa local única IPv6 fc00::/7, enquanto hosts fornecidos como nomes eram resolvidos e verificados usando predicados `InetAddress`. Como esses predicados não cobriam a faixa fc00::/7, uma URL de webhook que resolvesse para essa faixa poderia burlar as proteções. Isso permite que um invasor controle a variável `TaskPushNotificationConfig.url` para disparar requisições HTTPS externas cegas do processo Camel para endereços internos, potencialmente incluindo cabeçalhos de Autorização. Além disso, a pré-verificação bloqueava incorretamente qualquer nome de host começando com fc ou fd, como fcm.googleapis.com, independentemente de serem literais de IP.