Der LLM-Proxy von Headroom lässt zu, dass der Client das Ziel der weitergeleiteten Anfrage selbst über einen speziellen Request-Header bestimmt. Die zuständige Auflösungsfunktion prüft lediglich, ob der übergebene Wert ein gültiges HTTP- oder HTTPS-Schema und einen Hostnamen enthält, und verwendet ihn anschließend als Upstream-Adresse; dieselbe Kopfzeile wird auch für die Passthrough-Routen ausgewertet. Eine Filterung interner Ziele fehlt: Loopback-Adressen, Link-Local-Adressen und private Netzbereiche werden nicht abgewiesen. Da es sich um einen Proxy handelt, gelangt die Antwort des angesprochenen Dienstes zurück an den Aufrufer – ein Angreifer kann so interne Dienste sowie Metadatendienste von Cloud-Umgebungen erreichen und deren Antworten auslesen (serverseitige Anfragefälschung). Zusätzlich wird der mitgesendete Authorization-Header unverändert an das vom Angreifer gewählte Ziel weitergereicht, wodurch Zugangsdaten abfließen können. Während der über pip installierte Dienst standardmäßig nur lokal lauscht, bindet die mitgelieferte Container-Compose-Konfiguration an alle Schnittstellen, veröffentlicht Ports und verlangt kein Proxy-Token, sodass die betroffenen Routen unauthentifiziert im Netz erreichbar sind.