A validação inadequada de certificados com incompatibilidade de host permite que um adversário no meio se passe por um peer TLS usando um certificado com um curinga de rótulo parcial. A função `try match wildcard/4` em `src/ssl verify hostname.erl` ancora apenas o texto antes e depois do asterisco em identificadores como `f*.example.net`, permitindo que o curinga consuma pontos e aceite certificados para domínios não autorizados, como `f.evil.example.net`. Isso contraria a RFC 6125, que restringe curingas ao rótulo mais à esquerda. Além disso, o correspondente permite que `*.168.1.1` corresponda ao literal de IP `192.168.1.1`. Este problema afeta clientes que desativam a Indicação do Nome do Servidor (SNI), servidores que verificam nomes de host de certificados de cliente e chamadores diretos da função `verify cert hostname/2`.