Hay lenguajes más potentes que otros a la hora de acceder a ciertas características que ofrece el OS (sistema operativo). Por ejmplo, mencionas que en javascript no te sería posible. Dependiendo del tipo de exploit, javascript podría valer. Imagina cualquier bug de corrupción de memoria en el navegador (FireFox?) donde tu exploit en JS corrompe la memoria y sobreescribe a placer o mismamente explotar un use-after free mediante un spray. Pero vamos que en los años que corren aunque tengas el exploit existen medidas de prevención para que estás cosas no sucedan (aslr, dep, seh, canary y demás).

Python y Ruby son válidos porque cuentan con librerías que facilitan al programador la escritura en memoria y la llamada de funciones a punteros, es decir, menos código, mayor abstracción equivale a menor tiempo invertido en escribir el "esqueleto" del exploit. Aun así yo prefiero C para exploit locales o en red, puesto que te permite acceder al subsistema de red o memoria dependiendo de los privilegios que tengas.

Ruby se utiliza en Metasploit ya desde muchos años y el framework es un conjunto de librerías que define un modelo genérico para distintos tipos de exploit de esta forma  el usuario empleando la herramienta puede reconocer, configurar y ejecutar cada uno de esos exploits. De hecho podrías modificarla y añadir tus propias creaciones basadas en exploits previos o 0-days.
 
Saludos.