Podría ser, por eso es recomendable desactivar javascript.. porque la mayoría de los ataques tanto 0-day como conocidos se basan en javascript. Ten en cuenta que el navegador de Tor es una versión de Firefox con muchas modificaciones para hacerlo todavía mas seguro. Viene con No-Script por defecto que ya de por si hace ineficaces el 99%. Por supuesto, siempre puede haber algún 0-day explotable pero eso pasa en todos los sistemas y aplicaciones. Nada es 100% seguro.

Saludos