Estoy intentando (legalmente) XSS un sitio web. Este sitio no tiene la mayoría de los problemas comunes de XSS, ya que no interactúa con el servidor y solo usa almacenamiento local para sus campos. Sin embargo, aún puedo enviar un XMLHttpRequest() usando un campo vulnerable. Estoy tratando de demostrar que puedo dañar la reputación del sitio web como un problema potencial con el campo vulnerable, incluso si otros tipos de XSS se ven mitigados por la falta de funcionalidad del sitio web.

Preguntas:

1. ¿Existe la posibilidad de causar daños a la reputación mediante el envío de correo no deseado o solicitudes maliciosas utilizando este método, que se puede atribuir al "origen" en el sitio?
2. ¿En qué se diferencia esto de modificar Javascript directamente en su navegador, de modo que envíe el mismo tipo de solicitudes? En este caso, el código del sitio web no es vulnerable, lo cambiaste.

¡Gracias por cualquier ayuda!