ابزار Fallow که یک ابزار تحلیل هوشمند کد (codebase intelligence tool) برای زبان‌های TypeScript و JavaScript است، با یک آسیب‌پذیری امنیتی مواجه شده است. در نسخه‌های 2.68.0 تا 3.34.0، این ابزار مسیرهای کنترل‌شده توسط مهاجم در پروژه‌های Jest را از طریق مسیرهای مطلق (absolute paths)، بخش‌های والد (parent segments)، گلب‌های با پیشوند نقطه (dot-prefixed wildcard globs) یا پیوندهای نمادین (symlinks)، خارج از ریشه اصلی پروژه دنبال می‌کند.
در نسخه 3.33.1، این رفتار مشابه همچنین مسیرهای test.projects در Vitest، مسیرهای inline-project در Vitest و مسیرهای --config در اسکریپت‌های متصل به symlink را تحت تأثیر قرار می‌دهد.
این آسیب‌پذیری به مهاجم اجازه می‌دهد تا فایل‌های خارج از محدوده پروژه را به عنوان پیکربندی اجراکننده تست (test-runner configuration) تجزیه (parse) کند. این فرآیند می‌تواند منجر به تغییر در نحوه اعتبار‌سنجی وابستگی‌ها (dependencies)، فایل‌های تنظیمات (setup files) و منابع وارداتی JSX شود که در نهایت باعث دستکاری در تحلیل وابستگی‌های استفاده‌نشده و فایل‌های پروژه می‌گردد.
