Le problème

Sami colle le lien d’un article dans le chat de son équipe. Sous le message apparaît une carte avec le titre de l’article, une courte description et une photo. Personne dans le chat n’a ouvert la page.

Quelqu’un a pourtant téléchargé cette page. Si c’est ton serveur, un attaquant peut coller http://169.254.169.254/ à la place, l’adresse du service de métadonnées du cloud. OWASP rappelle que le SSRF "is often used to access and steal credentials and access tokens from metadata services" (sert souvent à voler des identifiants sur ces services).

Tu conçois le service d’aperçus : récupérer le titre et l’image de n’importe quelle page publique, sans jamais joindre une adresse de ton propre réseau.