O problema está relacionado a uma vulnerabilidade de DOM Clobbering no Rollup ao agrupar scripts com propriedades de `import.meta` (por exemplo, `import.meta.url`) no formato `cjs`/`umd`/`iife`. Essa vulnerabilidade pode levar a cross-site scripting (XSS) em páginas da web onde estejam presentes elementos HTML controlados pelo invasor e sem scripts (por exemplo, uma tag `img` com um atributo `name` não sanitizado). O gadget de DOM Clobbering pode ser explorado por um invasor para carregar scripts de um servidor controlado por ele.