En detalle
Las funciones que obtienen una URL aportada por el usuario, como las vistas previas de enlaces o los webhooks, pueden dirigirse a localhost, a rangos de red privados o a servicios de metadatos de la nube a los que el atacante no llega directamente. Defensas: resolver primero el nombre de host y rechazar direcciones privadas y de bucle local, permitir solo los esquemas necesarios y no seguir redirecciones a ciegas.