evalは、 引数として与えられた文字列を式として評価、 あるいはJavaScriptのステートメントとして実行します。 ですので、 evalの引数に攻撃者がコントロール可能な文字列を渡した場合には、 攻撃者が自由にJavaScriptを実行できてしまいます。