Prototype Pollution → RCE через гаджет в EJS

# Prototype Pollution (Гаджет в шаблонизаторе) ## Сценарий «НордБутик» — бутик-магазин с админ-панелью для операторов. Операторы настраивают собственный дашборд: заголовок, текст футера, имя в приветствии. Клиент присылает JSON-патч, сервер рекурсивно сливает его с внутренним объектом предпочтений, чтобы менять только нужные поля. Посмотреть результат можно на странице предпросмотра дашборда, которая собирает HTML через шаблонизатор EJS. Ревьюер заметил, что слияние не фильтрует имена ключей, а шаблонизатор часть своих настроечных полей читает обычным доступом по свойству. Вас, аудитора, попросили проверить, собирается ли из этих двух фактов опасная цепочка. ## Цель 1. Войдите администратором и изучите предпросмотр дашборда и эндпоинт патча предпочтений. 2. Через патч предпочтений загрязните общий прототип объектов строкой, которая попадёт в опции компиляции шаблонизатора. 3. Добейтесь выполнения своего кода в процессе сервера и прочитайте секретную переменную окружения — в ней флаг. ## Теория Prototype Pollution сам по себе — «тихое» присваивание: атакующий меняет значение, которое прочтут чужие объекты, но код при этом не выполняется. Опасность раскрывается в связке с гаджетом — кодом, который читает некое свойство через цепочку прототипов и использует прочитанное опасным образом. Шаблонизатор EJS при компиляции берёт ряд настроечных полей из внутреннего объекта опций простым доступом по свойству: если поля нет у самого объекта, чтение проваливается в прототип. Отдельные из этих значений движок подставляет в генерируемый код буквально. **Уязвимый паттерн:** ```js // Рекурсивный merge патча без фильтрации ключей: for (const k in src) { if (typeof src[k] === 'object') deep(dst[k], src[k]); } ``` Механика словами: ключ со служебным именем уводит рекурсию слияния в общий прототип, и записанная туда строка наследуется объектом опций при следующем рендере. Шаблонизатор читает её как настроечное поле и вставляет в тело функции, которую компилирует для предпросмотра, — загрязнение превращается в выполнение произвольного JavaScript в процессе сервера, а оттуда доступен и объект окружения процесса. ## Точка входа атаки `POST /admin/preferences` — JSON-патч предпочтений дашборда, рекурсивно сливается с внутренним объектом (требуется роль администратора). `GET /admin/dashboard-preview` — предпросмотр дашборда: рендерит текущие предпочтения через EJS (тот же guard роли). * **Администратор (доступ выдан вам для аудита):** `admin` / `SuperSecret`