это не так ) с таким же успехом можно утверждать, что интернет - сплошная уязвимость. Обычно уязвимости пропорциональны возможностям технологий. И, соответственно, чем сложнее технология, тем меньше туда надо лезть тем, кто не шарит ;)

ТС, да, у клиентских скриптов запускаемых с домена есть доступ к кукам пользователя для этого домена. Это касается и javascript и flash и silverlight. Поэтому лучше проверять. Воспользуйтесь флеш-потрошилками аля Sothink SWF Decompiler. Посмотрите код. Там не должно быть ничего кроме функции-обработчика события (onRelease) и функции перехода getURL(). В более сложных случаях лучше обратитесь к специалисту.