Уязвимость в продуктах Trend Micro позволяет любому веб-сайту выполнить произвольную команду Windows

удивительнейшую

Да не то слово — «это волшебно», как любит говорить мой преподаватель по физике Плис Валерий Иванович.

менеджер паролей, написанный на JavaScript с использованием node.js.

После этой фразы уже заподозрил неладное.

О, это ж один из популярных корпоративных антивирусов. Встречался с ним в одной конторе. Особенно доставляет, что корпоративная политика нещадна в отношении всех, будь ты водитель, бухгалтер, разработчик или системный архитектор. Например, невозможно развернуть демо-сервер на ноутбуке, чтобы отвезти клиенту и показать, как работает решение на его территории с его оборудованием. В большой международной корпорации почти нереально добиться, что бы кто-то кому-то зачем-то что-то перенастроил. В итоге убивалось это уныние довольно просто: в процесс посылалось событие о том, что операционка ухотит в шатдаун, и тот самостоятельно и без шума убивался.

Антивирус?
Больше похоже на малварь.

Студентов-практикантов что ли посадили на этот менеджер паролей?

Порадовало в коде эксплойта:

Command: <input id="command" value="C:/PROGRA~1/TRENDM~1/Titanium/Remove.exe" size="64">
    <p>
    <a href="javascript:begin()">Click Here</a> to run the command above 
    (the default will uninstall Trend Micro Maximum).

Ох уж эти антивирусы. Порой проблем от них больше, чем пользы.

<сарказм> Ну он же антивирус, а не антишпион. Что вы к маленькому пристали? </сарказм>

Дегенераты, хотя бы RPC токен нужно было использовать

Почему-то никто не упомянул, что этот менеджер паролей еще и 646Мб кушает (судя по скриншоту). Может там еще какая-то интересная функциональность зашита? :)