Ну я ващета тоже проггер не первый год.

Разумеется морда, причем возможно она работает через те же самые запросы, через которые веб-странички работают через встроенные в них javascript-вставки кода.
Тем не менее, веб-странички и яваскрипт никак не могут мне напакостить, они ограничены браузером, который проверен миллионами людей. А вот что наворотит чужое ПО - не известно.

И граница ни разу не размывается. Тут всё просто. Надо инсталлировать сторонние binaries с исполняемым кодом или не надо. В случае приложений - надо. В случае сайтов - нет. Случай с бинарными ActiveX-COM-OLE2 вложениями в сайты - особый, но такие вложения ни 1 человек в своём уме не позволяет исполнять, т.к. они служат только для троянов.