Os métodos HTTP, do próprio método HTTP ou usando o cabeçalho X-Http-Method-Override, foram retornados como o método em questão, sem que a validação fosse feita na string, o que significa que eles poderiam ser usados em contextos perigosos quando deixados sem escape.