Gerekmez. HTML dosyası içerisinde <script> tagları arasına kod yerleştirmeleri bile yeterli. İsterseniz size uygulamalı göstereyim.
JavaScript:
<script>alert('ben bir kediyim');</script>
Bunu bir HTML dosyası olarak kaydedip açın. JavaScript tarafından işleneceği için tarayıcıda "ben bir kediyim" mesajı içeren pencere açılacak.
Şimdi bir kedi olduğunu söyleyen bir kod değil, cihaz hafızasını kullanan, bir codec veya yarayıcı açığı kullanarak işletim sisteminde istediği kodlar çalıştıran betik yazıldığını hayal edin.
Format atıp geçin, içinizi rahatlatın. Sırf BAT, sh, exe, CMD uzantılı değil diye her dosyaya güvenirseniz canınız çok yanar.