Só no front

No portal da cooperativa Querencia, o diretório de membros tem um botão "Export all members" que só aparece para quem é admin. O código do navegador está em app.js, o código do servidor em server.js, e um oráculo offline em oracle.mjs.

Leia o app.js e veja qual pedido o botão escondido dispara. Depois leia o server.js: o botão some da tela para quem não é admin, mas a rota continua respondendo. Rode o oráculo fazendo esse mesmo pedido como um membro comum e pegue a flag na resposta.

O oráculo roda assim: node oracle.mjs "GET /api/members/export" member.

Formato: tocaia{...} em minúsculas. Exemplo com a mesma forma, que não é a resposta: tocaia{the_button_is_gone}.