Насколько я знаю, десктопный клиент WhatsApp построен на electron + Node.js, выполнение произвольного JS равносильно RCE в системе. Но выполнение JS в браузере остается обычной XSS атакой.
CORS запросы делятся на простые и сложные, для простых не требуется пердварительный OPTIONS, запрос сразу улетает на сервер открывая двери для CSRF.
К простым запросам относятся: методы GET/POST/HEAD c content-type text/plain, application/x-www-form-urlencoded, multipart/form-data. developer.mozilla.org/ru/docs/Web/HTTP/CORS
К простым запросам относятся: методы GET/POST/HEAD c content-type text/plain, application/x-www-form-urlencoded, multipart/form-data.
developer.mozilla.org/ru/docs/Web/HTTP/CORS