@azatot Может ли сайт на js подделать нажатие? Да может иначе бы файловый менеджер не открывался при нажатии на кнопку сайту, может ли он сохранить файл? Да может. Будет ли у файла право на запуск? Конечно будет если он заранее его проставил там откуда качает, либо может чмоднуть т.к он хозяин. Дальше идут вариации. Либо мы делаем xinput и ждём когда человек введёт sudo и тогда зная пароль судошимся и делаем что хотим.
Либо начинаем подделывать нажатия в x-ах например меняем настройки браузера и фаервола.
Либо просто запускаем эксплойт на интерпрмтируемых языках или опасные документовые форматы с эксплойтом.
Это при том если для самого JS нет эксплойта а они частенько встречаются, большинство уязвимостей браузера тор связанны с JS.