Die Schwachstelle betrifft die Prüfung von Servernamen bei TLS-Verbindungen in Node.js. Wird als Ziel eine IPv4-Adresse in nicht-kanonischer Schreibweise mit führender Null angegeben, interpretieren zwei Komponenten diese Angabe unterschiedlich: Die Funktion zur Prüfung der Server-Identität normalisiert den Host nach den WHATWG-URL-Regeln und liest ein Oktett mit führender Null als Oktalzahl, während der eigentliche Verbindungsaufbau über den Namensauflöser des Betriebssystems läuft, der dieselbe Angabe auf manchen Plattformen – etwa macOS – als Dezimalzahl deutet. Dadurch wird das Zertifikat des Servers gegen eine andere IP-Adresse geprüft als jene, zu der die Verbindung tatsächlich aufgebaut wurde. Ein Server unter der tatsächlich kontaktierten Adresse kann sich so mit einem Zertifikat ausweisen, das für eine ganz andere IP-Adresse ausgestellt wurde. Die Authentizitätsprüfung der TLS-Verbindung wird damit wirkungslos, was Angriffe mit untergeschobenen Gegenstellen ermöglicht.