> рассматривать злонамеренные реализации, которые делают что-то, не предписанное спецификацией

Не злонамеренные, а ленивые. Передадут, скажем, строку из поля как аргумент команде whereis или в субшелл (с каким-нибудь builtin, вроде type/command), чтобы самим с PATH и си-строками не тыркаться, не глядя, а там не экранинированы ни ключи от аргументов (--), ни пробелы, ни спецсимволы ($'\n') и т.п. Да постоянно что-нибудь такое вылезает. В компетентность/внимательность разработчиков веры нет.

> Как это можно проэксплуатировать и каковы риски?

Любой пользовательский процесс пишет в директорию, из которой автоматически, регулярно, неявно, потенциально опасным способом считываются файлы. Как это проэксплуатировать? Ну не знаю.
Я сторонник подхода "либо пишем, либо исполняем, иначе - с разными привилегиями". А вы -- как хотите.