JScript.NET ではなくて、JScriptについて質問があるんですが（オフトピでスマソ）、
MSIEで外部のウェブサイト閲覧中に HTMLに埋め込まれたJScriptでWMIが操作できるのって普通ですか？
とあるアプリにオブジェクトを色々作れる関数が入っているのですが、ユーザーに無表示でサービス止めたり、ファイル埋め込みができるスクリプトが書けたりして困ってます。
開発者曰く、「WebからJScriptでWMIが弄れるのは普通に仕様だからアプリの問題では無い」とか。
でもそうすると悪質なサイトを訪問するだけで一発ＢＯＴ感染できるのでないかと疑問が。

MSIEでどのようなセキュリティ上の制限が適用されているかの一覧みたいのがあったら助かります。

オフトピですが、宜しくお願いします。