＞プログラムをJavaScriptで書かねばならない→厳しいセキュリティ制限がつく

これは間違い。xpconnectと呼ばれる方法で、C++で書いたバイナリを
javascriptから直接呼ぶことができる。
HD全消去とかは、５行くらいのスクリプトで可能。
スパイウェアなら30行くらいかなぁ。

Mozilla系列はメーラーやエディターもXulで動いてるわけだから、
単純な比較はできんよ。
つっても、メーラーは全く普及してないが。