Точно так же, как можно в любом одном месте сделать

int offset = get_offset_from_inet();
int val = get_val_from_inet();
my_arr[offset] = val;

и поиметь проблем во всем приложении. Чем отсутвие валидации входных в одном языке, отличаются от другого? А уж тем более, если будет саботаж в коде самого приложения.

Я не защищаю js. Подобные вещи меня в нем всегда напрягали. Но, я думаю, и в какой-нибудь джаве через рефлексию можно подобное наворотить. Тут разговор идет скорее о том, насколько это легко делается в js, но принципиально это не меняет ситуацию.