Na webovkách, který navštěvujeme, běží pořád nějakej javascript. To je cizí kód, běžící v mojem PC. Nic víc tyhle útoky bohužel nepotřebujou (exploit z webové stránky javascriptem je dokázaná věc).
Jo, asi se někde v minulosti stala chyba, když jsme to dopracovali až sem, ale je to tak bohužel a není reálný operovat s tím, že teď průměrnej uživatel masově nasadí noscript v browseru a javascript přestane jako attack vector existovat.