安全研究人员在 Cloudflare 的 CDN 中发现了一个漏洞，只需在 Signal 和 Discord 向对方发送图像，就能知晓其大致位置。首先，研究人员会向某人发送一条包含独特图像的消息，例如托管在 Cloudflare CDN 上的个人头像或截图。接着，他利用了 Cloudflare Workers 中的一个漏洞，该漏洞允许 Cloudflare Teleport 自定义工具通过特定数据中心强制请求。Cloudflare 的默认安全限制通常不允许这种任意路由，该限制规定每个请求都从最近的数据中心路由。通过列举来自不同 Cloudflare 数据中心的已发送图像的缓存响应，研究人员根据 CDN 返回其数据中心附近最近的机场代码来映射用户的大致位置。由于许多应用程序会自动下载用于推送通知的图像，包括 Signal 和 Discord，因此攻击者可在没有交互的情况下跟踪目标，从而使其成为零点击攻击。跟踪精度在 50 到 300 英里之间，具体取决于地区和附近的 Cloudflare 数据中心数量。
Cloudflare 已修复了 Workers 上的 Bug，研究人员获得了 200 美元的赏金。但研究人员称，通过重新编程 Teleport 以使用 VPN 测试不同的 CDN 位置，地理定位攻击仍然是可能的。Cloudflare 表示用户需自行禁用缓存。Discord 和 Signal 则称这是 Cloudflare 的问题。
