SSRF
Server-Side Request Forgery — o atacante força o servidor a fazer requisições HTTP para URLs de sua escolha (muitas vezes a rede interna ou endpoints de metadados da nuvem). OWASP Top 10, nº 10 em 2021.
Vetor clássico: o app aceita um parâmetro de URL para "buscar imagem a partir de URL" → o atacante passa http://169.254.169.254/latest/meta-data/iam/security-credentials/ (metadados do AWS IMDSv1) → o servidor devolve credenciais IAM. Vazamento da Capital One em 2019: SSRF contra um Apache interno + metadados da AWS = mais de 100 milhões de registros de clientes vazados. Defesa: validação por lista de permissão da URL de destino, bloquear IPs privados (RFC1918 + 169.254/16 + 127.0.0.0/8 + ::1) e usar IMDSv2 (exige token de sessão, que o SSRF não consegue obter). Padrão na nuvem: somente IMDSv2 no EC2 desde 2020.