Die Schwachstelle betrifft die TLS-Hostnamenprüfung von Node.js. Beim Aufbau einer verschlüsselten Verbindung muss geprüft werden, ob das vorgelegte Zertifikat tatsächlich zum angesprochenen Gegenüber gehört. Wird die Zieladresse mit Sonderzeichen geschrieben, etwa mit Ziffern in Vollbreitenform statt gewöhnlicher ASCII-Ziffern, erkennt die zuständige Prüffunktion sie nicht als IP-Adresse. Obwohl eine solche Schreibweise beim Verbindungsaufbau normalisiert wird und auf eine reguläre IPv4-Adresse hinausläuft, gleicht Node.js sie stattdessen mit den DNS-Namen und dem Common Name des Zertifikats ab. Dadurch kann ein Zertifikat, das lediglich einen passenden DNS-Eintrag oder einen Platzhaltereintrag enthält, für einen IP-Endpunkt akzeptiert werden, für den es nie ausgestellt wurde. Ein Angreifer in der Position, Verbindungen umzuleiten, kann sich so als legitimer Server ausgeben und verschlüsselten Datenverkehr mitlesen oder verändern. Der Fehler ist eine Rückfallwirkung einer früheren Korrektur.