L'abuso di richieste lato server è un difetto in cui un attaccante può indurre un server a inviare richieste che non era destinato a inviare. Invece di contattare direttamente un servizio interno, l'applicazione vulnerabile diventa il proxy e raggiunge i bersagli per conto dell'attaccante. Questo è importante perché i server spesso dispongono di un accesso alla rete che gli utenti non hanno, incluso l'accesso a host interni, endpoint di metadati cloud, pannelli di amministrazione o servizi nascosti dietro firewall.
Negli attacchi reali, questa debolezza compare in funzionalità che recuperano URL, importano contenuti remoti, elaborano webhook o risolvono riferimenti a repository. Un attaccante può fornire un indirizzo costruito ad arte, una destinazione di reindirizzamento o un payload che il server segue automaticamente. Le difese si concentrano su allowlist rigorose, sul blocco degli intervalli privati e link-local, sulla disattivazione dell'accesso in uscita non necessario e sulla separazione dei servizi interni dagli host delle applicazioni. Anche la registrazione e il monitoraggio delle richieste originate dal server possono rivelare tempestivamente l'abuso.