O RPC `/services/request-service` do backend aceita uma URL controlada por um invasor de qualquer cliente conectado ao endpoint de mensagens padrão `/services`. O servidor executa a requisição HTTP e retorna o corpo completo da resposta ao solicitante. Como a URL de destino não é validada nem incluída em uma lista de permissões, um invasor remoto com acesso à conexão do serviço pode executar requisições HTTP do lado do servidor para o localhost ou outros hosts de backend alcançáveis. Isso pode expor endpoints administrativos internos, serviços de metadados de instâncias em nuvem e outros recursos localizados fora do limite da rede do navegador. Este problema afeta principalmente implantações multi-tenant ou acessíveis publicamente.