Установка этого свойства требует привилегии UniversalBrowserWrite. Кроме того, получение этого свойства для события DragDrop требует привилегии UniversalBrowserRead. О безопасности см. книгу Клиентский JavaScript. Руководство.