Prototype Pollution — это классика, когда обычное слияние объектов внезапно превращается в бомбу замедленного действия. Вроде код простой и понятный, а потом где-то в другом месте результат проявляется. Главная беда — чтение свойств из прототипа вместо самого объекта, особенно если это настройки, которые потом влияют на поведение всего приложения. Поэтому лучше лишний раз чётко фильтровать поля и не таскать пользовательские данные в прототип.