Hallo Erik,
Bei der höchsten Sicherheitsstufe sollte das auf keinen Fall gehen, dann sollte nämlich JS disabled sein.
Und dann funzt es nicht.
Wie bereits gesagt, ich konnte es noch nicht austesten, aber bei der letzen Sicherheitslücke, die nach dem gleichen Prinzip funktionierte (M$ hatte ja angeblich den Fehler behoben) ging es in allen Sicherheitsstufen.