是否可以通过PDF Javascript进行XSS攻击？

Question

我的问题是PDF内的Javascript如何在浏览器中执行？

我在PDF中遇到了以下javascript代码：

/Type /Action
/S /JavaScript
/JS (app.alert({cMsg: 'Hello from PDF JavaScript', cTitle: 'Testing PDF JavaScript', nIcon: 3});)

似乎此代码像alert（）一样在浏览器上引发了警报。

我的问题是，它是否可以像cookie一样实际上访问浏览器的数据或像在真正的XSS攻击中那样进行重定向，还是涉及某种沙盒？

如果可以，请以pdf格式提供document.cookie的示例。

PS：我不是指Adobe API，而是指通过浏览器打开的PDF。