Ich hab schon verstanden um was es geht. Und laut Betreiber-Blog reichte es, eine präparierte Webseite aufzurufen, damit man dem Safari Code unterschieben konnte der ausgeführt wird.
Hier ist die Kombination von OS und Browser wichtig:
Erstens der Browser, der gehackt wird und sich den Code unterjubeln sowie ausführen lässt.
Zweitens das OS, dessen Sicherheitsvorkehrungen nicht greifen und den Browser nicht authentifizierten/zusätzlichen Code ausführen lässt.
Und wenn ich schon so weit bin, dass ein System allein durch eine präparierte Website (kommt sehr selten vor, dass ein Anwender eine Website öffnet) Code ausführt. Dann habe ich auch den root-Zugriff in greifbarer Nähe.
Sobald ich root-Zugriff und bestenfalls noch ne Terminal-Verbindung hab ist das Ding sowieso gelaufen...