Проблема в целом в том, что любая атака долетает в принципе до сервера, а обрабатывай ее там не обрабатывай - это уже другое дело, ущерб так или иначе бывает
Это больше похоже на то, что когда то создали подобную реализацию не думая о том, что в будущем будут использовать все это с другой целью, а щас забили хуй