CVE-2021-22939

Node.js no validó correctamente una configuración HTTPS usada de forma incorrecta, permitiendo conexiones con servidores que poseen certificados SSL expirados cuando el parámetro rejectUnauthorized era undefined. Esto representa un riesgo de seguridad porque los certificados expirados deben rechazarse para evitar ataques de intermediario.

Cuando el parámetro rejectUnauthorized en la API https de Node.js se configuraba como undefined en lugar de un valor booleano explícito, la validación de certificado se deshabilitaba silenciosamente. Un atacante controlando un servidor con certificado expirado podría interceptar conexiones HTTPS si la aplicación dependía de esta configuración incorrecta, ya que el error de validación no se lanzaba y la conexión era aceptada.