Die Schwachstelle betrifft die DNS-Auflösung in Node.js. Hostnamen, die ein NUL-Byte enthalten, werden von den Funktionen zur DNS-Auflösung und zur Rückwärtsauflösung stillschweigend abgeschnitten, ohne dass ein Fehler gemeldet wird. Ursache ist, dass der Name an die zugrunde liegende C-Bibliothek als C-Zeichenkette übergeben wird und dort alles nach dem NUL-Byte verloren geht. Ein Angreifer kann dadurch einen Namen konstruieren, der bei einer Prüfung wie der scheinbar vertrauenswürdige Teil aussieht, tatsächlich aber nur den vorangestellten, vom Angreifer kontrollierten Teil auflöst. Anwendungen, die einen Hostnamen zunächst validieren – etwa gegen eine Positivliste erlaubter Domains – und ihn anschließend auflösen, verarbeiten somit DNS-Einträge eines ganz anderen Namens als des geprüften. Dies ist die unvollständig behobene Variante eines früheren Problems, dessen Korrektur nur die einfache Namensauflösung sowie die Host-Optionen der Netzwerk- und TLS-Module abdeckte. Betroffen sind mehrere aktive Node.js-Versionsreihen.