Браузеры преобразовывают значение атрибута http-equiv, заданное с помощью content, в формат заголовка ответа HTTP и обрабатывают их, как будто они прибыли непосредственно от сервера.
console.log(path.join(`${config.publicRoot}${path.sep}`, `/../../../../../windows/system`);
C:\Users\iamevg_\Desktop\app\public\windows\system