есть конечно. и есть возможность воровать куки, естественно. только я преследую цель - сбор некоторых данных, а не кража аккаунтов. зачем изучать двиг, если нужно только взять сурс код?
+ я прекрасно знаю, про то, на чьей стороне работает js, именно из-за этого возможно получить страницу залогиненого юзера. Js спокойно работает в пределах атакуемого сайта, если у вас нет ничего по-существу вопроса, давайте не будем офтопить, спасибо.
я преследую не чистый xsrf, а лишь "некое" подобие)