esm.shはモダンなWeb開発向けのノービルドコンテンツ配信ネットワーク（CDN）です。バージョン136以前のesm.shのCDNサービスには、CSSをJavaScriptモジュールに変換する機能にテンプレートリテラルインジェクションの脆弱性（CWE-94）が存在します。?moduleクエリパラメータ付きでCSSファイルがリクエストされると、esm.shはCSSの内容を適切にサニタイズせずにテンプレートリテラル内に直接埋め込む形でJavaScriptモジュールに変換します。攻撃者はCSSファイル内の${...}式を使用して悪意のあるJavaScriptコードを注入でき、被害者のアプリケーションが当該モジュールをインポートした際にコードが実行されます。これにより、ブラウザ上でクロスサイトスクリプティング（XSS）が発生し、Electronアプリケーションにおいてはリモートコード実行（RCE）が可能となります。この問題はバージョン136で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。