Para responder a la pregunta: el administrador del sitio web debe estar en la vulnerabilidad.
La técnica de codificación está ahí para ofuscar las secuencias de comandos de explotación reales, por lo que vuelan bajo el radar de los métodos de detección actuales. Todavía requiere que HTML / Javascript esté en la página web para decodificar y ejecutar el exploit.
Es decir, si hubiera codificado un exploit en pleasedontrunthis.jpg , yo (el administrador de la web), todavía necesitaría abrir la imagen de esta forma:
<script src="pleasedontrunthis.jpg">
Para responder a la pregunta en el título: En realidad no.
Esta es una técnica de codificación, no un exploit. Se requiere que el atacante potencial sirva Javascript malicioso para ... Servidor Javascript malicioso. Esta técnica podría proporcionar una ofuscación suficiente para ocultarse de los escáneres automatizados y humanos durante un período de tiempo potencialmente más prolongado que los ataques que ofrecen enormes paredes de texto con solo presionar F12.
En la práctica, esto significa que alguien podría piratear un sitio web (es decir, a través de una vulnerabilidad de Wordpress) y ofrecer una vulnerabilidad silenciosa que llevaría más tiempo encontrarla.
En realidad, si un exploit en el kit de herramientas fuera capaz de explotar su máquina, habría muy probablemente activado su máquina de cualquier manera. La realidad es que no todos los códigos maliciosos se harán evidentes, por lo que siempre hay un riesgo inherente al decidir permitirlo.