CVE-2021-22939
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
Node.js não validou corretamente uma configuração HTTPS usada de forma incorreta, permitindo conexões com servidores que possuem certificados SSL expirados quando o parâmetro rejectUnauthorized era indefinido. Isso representa um risco de segurança porque certificados expirados devem ser rejeitados para evitar ataques do tipo man-in-the-middle.
Quando o parâmetro rejectUnauthorized na API https do Node.js era configurado como undefined em vez de um valor booleano explícito, a validação de certificado era silenciosamente desabilitada. Um atacante controlando um servidor com certificado expirado poderia interceptar conexões HTTPS se a aplicação dependesse dessa configuração incorreta, pois o erro de validação não era lançado e a conexão era aceita.