Lendo o patch

Um desenvolvedor abriu um commit para fechar o XSS da página de ajuda. O arquivo patch.diff mostra o antes e o depois: ele passou a escapar os campos name e comment, e acrescentou uma Content-Security-Policy. Parece resolvido, mas o patch está incompleto.

Leia o patch.diff, encontre o que ficou de fora, e abra patched.html explorando o ponto que o patch esqueceu. A página guarda window.staffToken (base64); o sink que sobrou deixa você lê-lo. Decodifique: esse é o flag.

O flag tem o formato tocaia{...}. Um exemplo de mesma forma que NÃO é a resposta: tocaia{the_patch_is_perfect}.