Maks.A
Код расположен на твоем сайте, и куки следовательно будут снифаться с твоего сайта. Чтобы украсть куки с почты, нужно чтобы код выполнился на сайте почты, а для этого нужна XSS уязвимость.