CVE-2021-22939

Node.js não validou corretamente uma configuração HTTPS usada de forma incorreta, permitindo conexões com servidores que possuem certificados SSL expirados quando o parâmetro rejectUnauthorized era indefinido. Isso representa um risco de segurança porque certificados expirados devem ser rejeitados para evitar ataques do tipo man-in-the-middle.

Quando o parâmetro rejectUnauthorized na API https do Node.js era configurado como undefined em vez de um valor booleano explícito, a validação de certificado era silenciosamente desabilitada. Um atacante controlando um servidor com certificado expirado poderia interceptar conexões HTTPS se a aplicação dependesse dessa configuração incorreta, pois o erro de validação não era lançado e a conexão era aceita.