img в данном случае - не расширение, а JS-объект, который используется для добавления картинки на страницу через DOM. Чтобы код сработал, нужно иметь возможность его внедрения в страницу сайта, то есть XSS.