O tipo que vem no dado

A Pampa Pass salva preferências num pequeno blob base64. Leia pref-service.js: o blob carrega o PRÓPRIO tipo num campo _type, e o servidor usa esse campo para escolher qual handler roda. O app só manda _type igual a preference, mas o servidor roda qualquer tipo que o blob nomear, inclusive um handler interno que ninguém deveria alcançar por um cookie.

O blob.txt é o blob de preferência normal. Veja no código os _type registrados, troque o _type para o handler privilegiado, recodifique em base64 e passe ao oráculo oracle.mjs. A flag vem na resposta dele.

Formato: tocaia{...} em minúsculas. Exemplo com a mesma forma, que não é a resposta: tocaia{handler_errado}.