O baixador de ícones não aplica a verificação `should block host()` ao host de segundo estágio ao processar URLs de favicon analisadas a partir de HTML controlado por um invasor e passadas para `get page with referer()`. Isso permite que um invasor remoto não autenticado use uma URL de literal de IP em um favicon para ignorar a normalização de host e forçar o servidor a alcançar endereços de loopback, privados ou internos. Este problema ocorre em instâncias onde o download de ícones internos está habilitado e pode levar à exposição de respostas internas ou revelar a acessibilidade da rede interna por meio de tempo, status e comportamento de cache.