Ну тут приведён эксплойт для Битрикса где (похоже) нет защиты от CSRF атак посредством токенов. Хотя всё же есть переменная сессии =) Именно её твой эксплойт парсит и передаёт в скрипт загрузки файла на сервер.

Значит для успешной атаки тебе необходимо знать название сайта, в том числе полный путь до админки. А также чтобы админ оо время прочтения пдф был стопроцентно залогинен в админке. И чтобы письмо прочёл именно админ а не юзверь.

Ну в общем то куча ограничений, но теоретически возможный вектор атаки.