Filtro ingênuo

A Fazenda colocou uma defesa na página de feedback: antes de mostrar o seu texto, ela passa por um sanitize() que apaga a etiqueta <script>. O desenvolvedor achou que XSS sempre precisa de <script>. Não precisa.

A página guarda window.staffToken (base64), legível por qualquer código que rode nela. Abra feedback.html, mande um c= que contorne o filtro e rode código que leia e mostre o staffToken, e decodifique: esse é o flag.

O flag tem o formato tocaia{...}. Um exemplo de mesma forma que NÃO é a resposta: tocaia{script_tag_removed}.