javascriptオンリーでもタブを開きまくって制御を乗っ取る程度の悪意のある攻撃程度はできるだろう