Por si alguien no lo sabe, los exploits de bookmarklet llevan años existiendo y básicamente estás ejecutando javascript arbitrario en la ventana del navegador que puede robar cualquier información vulnerable de la pestaña abierta Si haces esto, simplemente asume que estás haciendo clic en un archivo virus.exe

Que yo sepa, solo está limitado a la pestaña abierta actual y no tiene acceso a extensiones. Pero si usas, por ejemplo, un terminal web como Axiom y pruebas un "complemento chulo de francotirador Axiom" que requiere arrastrar un bookmarklet, entonces te vas a acabar