Igual me he explicado mal. No estoy discutiendo dónde están y dónde no están las vulnerabilidades. He intentado poner ejemplos de dónde pueden estar y de formas en las que funciona javascript para sentar un argumento.
Comprendo que cada uno evalúa a su manera la gravedad de los riesgos, simplemente estoy explicando porqué yo veo más peligroso uno que otro: en javascript, por muchos motivos, los riesgos no están "centralizados".
En java vienen de la JVM, en flash del flashplayer, en los navegadores de cada uno que uses, aunque son muchas batallas distintas, cada una tiene un sólo frente: que si el desarrollador se da cuenta de que comete un error, él lo arregle y tú lo actualices
JS, para mí, está más abierto a fallos porque ya desde su propio concepto no es seguro. Es un tema de "programa con fallos" vs "ejecuta cualquier cosa". En javascript dependes de montones de factores, muchos de ellos no están ni en tus manos, ni en las de una sóla persona. Mediavida pasa un token antiCRSF, pero yo no tengo control sobre ello. Yo como usuario no tengo control sobre todos los desarrolladores de páginas web (salvo sobre mi mismo).
Claro que hay mecanismos de seguridad, algunos se pueden saltar, otros no. Pero ya ni siquiera es eso, el problema es que no controlas si se implementan, o se implementan bien, o nada de nada. ¿O no tienes cuidado cuando te bajas un ejecutable de internet? Claro que puedes comprobar el checksum, ejecutarlo en un sandbox, etc etc pero en última instancia dependes de que el programa esté desarrollado con buenas intenciones y de que se haya hecho de forma adecuada. En javascript estás dejando entrar todo lo que derive de tus hábitos de navegación... dependes de las vulnerabilidades del navegador, de las de los frameworks que utilicen los desarrolladores web, de su versión del servidor, de su criterio, de mil cosas. Y muchos de ellos escapan a tu control y se multiplican por cada web que visites.
Supongo que todo ésto es una cuestión de opinión personal, pero a grandes rasgos lo que te quiero decir es que puedes actualizar flashplayer, pero no puedes actualizar internet.
De todas formas comprendo porqué para tí es más peligroso tener flash desactualizado y con la reputación que tiene el flashplayer dudo que haya más gente de acuerdo conmigo que contigo.
