В чем может быть опасность для сайта от добавления чужого js кода?

ничем не опасен, максимум куки-пароли админа могут увести)

это полный доступ к посетителям сайта, с ними можно делать все что угодно, подсовывасть свою рекламу, редиректить по гео, запускать майнеры и т.д.)

вроди как куки нельзя получить если флаг sequre

JS выполняется у клиента, а не на сервере. Так что - для хозяина сайта - ничем. А для посетителей сайта - ну всяким.

можно получить куки на текущем домене, нельзя получить с чужих доменов
куки-пароли админа как раз на текущем домене хранятся)
то есть если я подгружу к себе на сайт JS, у скрипта будет доступ ко всем кукам сайта

console.log(document.cookie);

Важно: Этот метод работает только для cookies, доступных через JavaScript ( document.cookie ). Он не получит HttpOnly cookies, которые защищены от доступа скриптами.

Если вам нужны все cookies, включая HttpOnly , используйте расширение Chrome или API chrome.cookies в контент-скрипте расширения.

эти куки только сервером обрабатывать
secure можно получить через JS

та ты же сам сказал что угнать можно куки. а те привел пример что нельзя. разве что как ми то другими способами. которые только хакеры знают

я про XSS писал, оно все еще актуально

базу осознал, ликбез почитал.
не надо так делать, конечно. ответственность за наших пользователях - таки на нас, да.