Sfondo : non è difficile introdurre vulnerabilità nel codice backend / API quando non si parla di sicurezza con la codifica. Questo in genere porta a vulnerabilità come XSS o varie iniezioni (o altre).
È anche possibile che questo codice backend / API sia stato intenzionalmente scritto come malevolo - questo è qualcosa che ho messo da parte, concentrandomi sul primo caso.
Domanda: è possibile (e se sì - come) introdurre le vulnerabilità tramite un codice Javascript sciatto? In altre parole: esiste un codice Javascript che può essere utilizzato da un utente malintenzionato in un contesto del browser e solo in quel contesto del browser?
Le vulnerabilità che portano a problemi lato server (XSS, ...) non sono nel campo di applicazione, mi sto interrogando su uno scenario in cui l'attacco sarebbe reso possibile a causa di difetti nel codice JS di per sé.
Al contrario, io so come usare dannoso il codice JS per rubare informazioni dal DOM (nel caso, ad esempio, alcuni widget di portale in cui il codice JS in esecuzione non è controllati). Questo non è il caso che mi interessa.