Если вы говорите, например, аркаду игр HTML5, которая позволяет пользователям загружать сценарий, который запускает игру с HTML5 и Javascript, при условии, что у вас нет фильтров на входе (кроме разрешения только JS и HTML), каковы потенциальные возможности угрозы безопасности и подводные камни?
Одна маловероятная возможность состоит в том, что, если игры популярны, у них может быть скрытый скрипт ddos, который может запустить атаку ddos, если игры достаточно популярны.
Кража файлов cookie - это еще одно, но если у кого-то есть исчерпывающий список или какие-либо другие идеи, было бы интересно их услышать.