O acesso ao ambiente é gerenciado pela permissão `env`, que pode ser restringida via `--deny-env` ou por uma lista de permissões usando `--allow-env=FOO,BAR`. A função `process.loadEnvFile()`, uma API compatível com Node para carregar variáveis de um arquivo `.env`, não respeita essas restrições. Ela apenas verifica se o programa possui permissão de leitura para o arquivo dotenv e, em seguida, grava cada chave desse arquivo no ambiente do processo, mesmo que o acesso ao ambiente tenha sido explicitamente negado. Consequentemente, a combinação de `--allow-read` com um arquivo `.env` gravável ou controlado por um invasor permite a violação do `--deny-env`.