С помощью запроса JSON и JavaScript можно удаленно выполнить код на устройстве жертвы — SecurityLab.ru.