A função `fetch` verifica incorretamente os metadados de Subresource Integrity (SRI) ao dividir a string de integridade apenas por espaços simples. Como a gramática SRI permite qualquer espaço em branco ASCII, incluindo tabulações horizontais, qualquer digesto precedido por esse espaço é tratado como um token não reconhecido e ignorado. Se não restarem algoritmos reconhecidos, a lista de integridade é tratada como vazia, permitindo que um servidor retorne um corpo de resposta diferente do digesto fixado sem gerar um erro de integridade. Isso permite que um invasor que controle o corpo da resposta entregue bytes maliciosos a uma aplicação que utilize valores SRI cercados por espaços em branco.