É o envio de um *byte* nulo (0) como um texto que mais tarde será usando em alguma parte da aplicação que provavelmente dará acesso a algum recurso que não deveria ser acessado.

Como é como *strings* serem tratadas com uma sequencia de caracteres terminadas com um nulo, isto faria que operações de segurança que adicionam um texto protetor na *string* recebida pela aplicação externamente, não considere este texto, já que as funções de comparação de textos param quando encontrar um nulo.

Isto é nas funções padrões do C. Por isto verificações ou manipulações extras devem ser feitas antes da utilização de textos de origem externa. Como tudo.

Linguagens que se valem destas funções sem fazer nenhuma verificação ou manipulação extra sofrem do mesmo problema. PHP sofria no passado mas hoje sabe como evitar isto em suas funções críticas.

A solução costuma ser simples já que um nulo raramente é algo correto quando vem de fonte *web* onde é mais comum o tipo de ataque.

No fundo esta preocupação específica não é necessária. Se você valida ou limpa dados externos corretamente, como sempre deve fazer, não tem este problema.