Уязвимость затрагивает функцию setNestedValue в библиотеке lib/util/object.js. Выполнение манипуляции с аргументом path может привести к неконтролируемому изменению атрибутов прототипа объекта. Атака может быть запущена удалённо. Проект был заранее уведомлён о проблеме через отчёт об ошибке, но до сих пор не ответил.