Впервые столкнулся с prototype pollution в простом проекте, когда случайно передал клиентские данные в merge. Баг был непонятный и проявлялся не сразу, приходилось долго копать. После перевел объекты на Object.create(null) — стало гораздо проще контролировать, нет лишних свойств в прототипе. Теперь стараюсь по-уму фильтровать входящие данные и не лезть глубоко слияниями без проверки.