Discourse recupera intencionalmente imágenes y URL que se incluyen en las publicaciones. Tenemos salvaguardas implementadas para garantizar que esas solicitudes no puedan dirigirse a hosts dentro de la red privada del servidor. Recibir una solicitud GET a un ‘canary token’ no significa que exista una vulnerabilidad.
No dude en dirigir al investigador a nuestro programa oficial de HackerOne. Nuestra política cubre este tipo de informe: