Das weit verbreitete Download-Werkzeug GNU Wget prüft im passiven FTP-Modus nicht, welche IP-Adresse ihm der Server in der Antwort auf das PASV-Kommando nennt. Wget übernimmt diese Angabe ungeprüft und baut die Datenverbindung zu der genannten Adresse und dem genannten Port auf. Ein bösartiger FTP-Server – oder auch ein HTTP-Server, der auf eine FTP-Adresse weiterleitet – kann die Datenverbindung dadurch auf ein beliebiges Ziel umlenken. Auf diese Weise lassen sich serverseitig gefälschte Anfragen (Server-Side Request Forgery) von dem Rechner aus auslösen, auf dem Wget läuft. Der Angreifer kann damit Dienste ansprechen, die nur lokal auf dem System oder im internen Netz erreichbar sind und von außen eigentlich abgeschottet wären. Betroffen sind insbesondere automatisierte Abläufe und Skripte, die Wget mit nicht vertrauenswürdigen Adressen aufrufen, da dort der Umweg über eine Weiterleitung unbemerkt bleibt.