Il routing interno delle richieste si verifica quando un'applicazione inoltra una richiesta a servizi backend che devono rimanere privati, come API di amministrazione, endpoint di metadati o interfacce da servizio a servizio. L'utente del frontend può vedere solo una normale funzionalità, ma l'applicazione agisce come proxy o orchestratore dietro le quinte.
Questo è importante perché gli errori di instradamento possono esporre segreti o azioni privilegiate senza esporre direttamente il servizio di destinazione. Gli aggressori possono abusare di una convalida debole, dell'iniezione di parametri o di percorsi di tipo SSRF per indirizzare il traffico verso endpoint accessibili solo internamente e recuperare token, dati di configurazione o altre risposte sensibili. I difensori riducono il rischio applicando allowlist rigorose, separando i percorsi di rete pubblici e privati, autenticando ogni chiamata backend e registrando destinazioni interne insolite.