Дослідники безпеки Талал Хадж Бакрі та Томмі Миск виявили декілька прогалин у браузерному рушії WebKit від Apple, які дозволяють вебсайтам зчитувати реальну IP-адресу користувача в обхід анонімізатора iCloud Private Relay та налаштованих проксі-серверів. Проблема впливає на всі браузери під управлінням iOS, iPadOS та macOS, оскільки вони використовують системний рушій WebKit.

Витік мережевого трафіку відбувається через три функції WebKit: попереднє визначення DNS-імен, запити WebAuthn Related Origin Requests для авторизації за допомогою ключа доступу, а також протокол WebTransport. Будь-який сайт може сформувати спеціальний запит WebAuthn, змусивши операційну систему встановити пряме з’єднання з сервером без залучення проксі. Це розкриває справжню мережеву адресу без будь-яких дій з боку користувача.