Nel caso in cui qualcuno non ne fosse a conoscenza, gli exploit bookmarklet esistono da anni e stai praticamente eseguendo javascript arbitrario nella finestra del tuo browser che può rubare qualsiasi informazione vulnerabile nella scheda aperta Se fai questo, considera semplicemente di stare cliccando su un file virus.exe

Per quanto ne so, è limitato solo alla scheda aperta attuale e non ha accesso alle estensioni. Ma se stai usando, ad esempio, un terminale web come Axiom, e stai provando un "cool axiom sniper addon" che richiede di trascinare un bookmarklet, allora ti beccherai un rekt.