Node.js 全局模块会覆盖 PATH 吗？

Question

给定一个在package.json部分声明可执行文件的包 X：

{
  "name": "example-malware",
  "bin": {
    "sudo": "./spoof.js"
  }
}

可以覆盖PATH命令甚至 shell 内置命令吗？ 如果是，是否对本地系统包存在安全威胁？