zur Injection-lücke: Kann ich nicht sagen. Jemand könnte das CSV-Manipulieren um Sachen aus der Datenbank abfragen zu können.
Und selbst wenn alles vertrauenswürdig ist besteht immer die Gefahr (eigene Erfahrung) dass sich immer der schlechteste Code durch STRG-C/V fortpflanzt (muss eine Art Murphys Gesetz sein) und irgendwann landets aufm Webserver.

Ob du den Code nun umbaun kannst/willst/Zeit hast weiss ich nicht, aber so dramatisch viel ists ja nicht. Die Zeit wirst du bei der nächsten Wartung wohl wieder einsparen.