CVE-2018-7159

El analizador HTTP en todas las versiones actuales de Node.js ignora los espacios en la cabecera "Content-Length", permitiendo que entradas como `Content-Length: 1 2" se interpreten con un valor de "12". La especificación HTTP no permite los espacios en el valor "Content-Length" y se ha destacado el analizador HTTP de Node.js con respecto a esta diferencia en concreto. El riesgo de seguridad de este error para los usuarios de Node.js se considera MUY BAJO, ya que es difícil (y tal vez imposible) manipular un ataque que haga uso de este error de forma que no se pueda lograr ya proporcionando un valor incorrecto para "Content-Length". Podrían existir vulnerabilidades en el código de usuario que realizan asunciones incorrectas sobre la precisión potencial de este valor comparado con la longitud total de los datos proporcionados. Se recomienda que los usuarios de Node.js que manipulan utilidades HTTP de bajo nivel vuelvan a comprobar la longitud de cualquier entrada proporcionada una vez se ha completado el análisis.

It was found that the http module from Node.js could accept incorrect Content-Length values, containing spaces within the value, in HTTP headers. A specially crafted client could use this flaw to possibly confuse the script, causing unspecified behavior.