何が起きたか
Windows で services() に渡したサービス名は PowerShell コマンドに埋め込まれますが、サニタイザーは ASCII の引用符だけを取り除き、Unicode の全角風の引用符（U+201C / U+201D）を残していました。PowerShell はこれを文字列の区切りとして扱うため、細工したサービス名で Node.js プロセスの権限で任意の PowerShell 式を実行できます。
やること
5.33.16 以降へ更新します。すぐ更新できない場合は、外部から受け取った値を services() に渡さないでください。
出典
GitHub Advisory Database（GHSA-3f7j-7jwc-fxfj）github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。