CVE-2019-15606

Node.js versiones 10, 12 y 13 permiten que atacantes eludan controles de seguridad al agregar espacios extras al final de encabezados HTTP. Si un servidor verifica valores de encabezado para autorizar solicitudes, un atacante puede añadir espacios al final para engañar la verificación.

Los valores de encabezados HTTP que contienen espacios en blanco finales no se normalizan adecuadamente en Node.js 10, 12 y 13, permitiendo que atacantes eludan mecanismos de autorización que dependen de comparación exacta de valores. El vector de ataque involucra solicitudes HTTP con encabezados rellenados con espacios en blanco; el impacto incluye elusión de controles de acceso basados en validación de encabezados.