Может ли JavaScript (клиентский) работать с файловой системой?
Может, если: в браузере уязвимость, позволяющая работать с ФС.установлены плагины, позволяющие работать с ФС.в операционной системе зарегистрирован протокол, позволяющий работать с ФС.
Вероятно, есть и другие способы выхода из песочницы.
Может. FileSytem API: habrahabr.ru/post/112286
Но это API поддерживается далеко не всеми браузерами и область применения очень ограничена