Prinzipiell hat hlubenow zwar recht, einige virtuelle Maschinen die für die Ausführung in Webseiten eingebetten Codes verwendet werden bieten aber Schnittstellen an, um kontrolliert die Berechntigungen der Sandbox zu erweitern.

Bei Java-Applets weiß ich, dass Zugriff auf das lokale Dateisystem sehr wohl möglich ist, wenn das Applet kryptographisch signiert ist, die entsprechenden Berechtigungen über die dafür vorgesehene Schnittstelle anfordert und der Benutzer diesen Berechtigungen explizit zustimmt.

Mit JavaScript und XPCOM-Komponenten in einem Mozillabrowser ist ähnliches ebenfalls möglich.

Bei Flash kenne ich mich nicht gut genug aus um zu wissen, ob es da auch entsprechende Schnittstellen gibt.