Prototype Pollution → RCE через гаджет в EJS

# Prototype Pollution → RCE через gadget в шаблонизаторе ## Контекст SecureShop — интернет-магазин с админ-панелью. Помимо управления каталогом и пользователями, админам доступна тонкая настройка собственного дашборда: заголовок страницы, текст футера, имя пользователя в приветствии. Бэкенд получает JSON-патч и рекурсивно сливает его с in-memory объектом предпочтений, чтобы клиент мог менять только нужные поля, не перезаписывая остальные. Когда админ открывает превью дашборда, сервер берёт текущие предпочтения и рендерит фрагмент HTML через шаблонизатор. Текст шаблона зашит в коде — пользователь не контролирует его напрямую. На первый взгляд поверхность атаки минимальна: значения внутри шаблона корректно экранируются, а тело шаблона недоступно извне. ## Уязвимость В приложении две независимые проблемы складываются в одну цепочку. 1. **Рекурсивный merge без фильтра ключей.** Функция, объединяющая JSON-патч с предпочтениями, перебирает все ключи входного объекта и пишет их в целевой объект. Если в JSON встречается ключ `__proto__`, JSON-парсер сохраняет его как обычное собственное свойство, а merge на следующей итерации заходит «внутрь» этого ключа — то есть начинает писать прямо в `Object.prototype`. Это классический prototype pollution: любой обычный объект в процессе теперь наследует загрязнённые свойства. 2. **Шаблонизатор читает опции компиляции через прототип.** При вызове рендера с двумя аргументами шаблонизатор внутри обращается к объекту опций и читает из него имя выходной переменной, имя локалов, функцию экранирования и т.п. — обычным доступом по точке. Если объект опций пуст, эти обращения «проваливаются» в `Object.prototype` и возвращают то, что туда положил атакующий. Прочитанные значения шаблонизатор подставляет **дословно** в тело генерируемой JavaScript-функции — то есть атакующий инжектит произвольный JS-код в скомпилированный шаблон. Каждая из проблем по отдельности кажется безобидной: «слить ключи» и «прочитать опцию по умолчанию» — рутинные операции. Вместе они превращают POST-эндпоинт настроек админа в RCE-примитив: загрязнённый прототип становится **гаджетом**, который шаблонизатор вшивает в свой compiled output. ## Точки входа - Форма входа `/login` — стандартная авторизация SecureShop. Чтобы достичь админских эндпоинтов, нужен аккаунт с ролью `admin`. - Эндпоинт `POST /admin/preferences` — принимает JSON-патч предпочтений админа и рекурсивно сливает его с in-memory объектом. Требует роль admin. - Эндпоинт `GET /admin/dashboard-preview` — рендерит фрагмент дашборда через шаблонизатор, читая текущие предпочтения. Тот же admin guard. ## Цель Прочитать значение переменной окружения `LAB_FLAG` процесса сервера и получить его в теле HTTP-ответа. ## Что вы научитесь делать - Распознавать prototype pollution как класс уязвимости и понимать, чем он опаснее обычного «лишнего ключа в объекте». - Строить gadget chain: pollution → читающая прототип библиотека → RCE-сток. - Понимать, почему изолированные проверки безопасности (escape пользовательских данных, фиксированный шаблон, проверка ролей) не помогают, если архитектура содержит непротестированный путь от ввода до прототипа.