Poluição de protótipo no Tampermonkey pela tag @antifeature com internacionalização

O que aconteceu e o que fazer

O post do autor tmctmt, publicado em 24 de outubro de 2026, descreve uma falha de poluição de protótipo no Tampermonkey, gerenciador de userscripts. A tag @antifeature, usada para informar monetização em scripts, aceita internacionalização com dois-pontos e a localidade, como em @antifeature:polluted. Essas entradas são armazenadas como um objeto aninhado, com tipo e localidade como chaves, o que permite atribuir valores a propriedades do protótipo. O autor observa que a localidade passa por uma função de normalização que remove variáveis camelCase e snake_case, o que dificulta encontrar um gadget explorável. Ele também tentou usar a chave ask para instalar scripts silenciosamente, mas não conseguiu sobrescrevê-la pelo protótipo. Por isso, o próprio autor classifica o impacto como modesto e dependente de interação do usuário.

Para uma empresa, o caso ensina dois pontos práticos. Primeiro, metadados de userscripts são analisados antes da instalação, então uma página de instalação pode ser alimentada por código não confiável. Uma verificação de inventário pode indicar onde esses gerenciadores estão instalados em estações e quais scripts são usados, com uma política de aprovação de userscripts por lista permitida. Segundo, qualquer ferramenta interna que leia metadados de scripts pode ser endurecida com validação de chaves como __proto__, constructor e prototype, objetos sem protótipo e testes automatizados dessas entradas. Um monitoramento de atualizações do Tampermonkey e dos scripts aprovados completa o processo.

Como a consultoria pode ajudar

Diagnóstico de exposição a userscripts e gerenciadores como o Tampermonkey nos equipamentos da sua organização, com levantamento de scripts em uso e da política atual de instalação. Em seguida, uma proposta escopada para lista permitida de scripts, controles de instalação e, se houver ferramentas internas que leiam metadados, revisão e testes de validação de chaves.

Próximo passo

Se a sua equipe usa gerenciadores de userscripts ou desenvolve ferramentas que leem metadados de scripts, envie uma descrição curta do seu cenário. Com ela, preparamos uma proposta escopada de diagnóstico e implementação.