O módulo fluent-forward contém uma falha na função `wm fluent ssl ctx()` devido à ausência de verificação de nome de host TLS. Isso permite que um invasor de rede se passe por um coletor Fluentd apresentando qualquer certificado encadeado ao `ca file` configurado. Ao redirecionar a conexão via DNS, ARP ou posições on-path, um invasor pode receber a telemetria de segurança encaminhada e o `shared key hexdigest` para quebra offline.