Um problema de path-traversal ocorre quando um objeto não-string especialmente criado é passado para a função `moment.locale()`. A proteção interna assume que a entrada é uma string; no entanto, um objeto com um método `match()` que satisfaça a verificação e um método `toString()` que retorne um caminho de travessia pode alcançar uma chamada interna `require()` com segmentos de caminho controlados por um atacante. Isso afeta principalmente usuários de npm no lado do servidor que passam entradas fornecidas pelo usuário diretamente para a função.