Zeph > ta vision est défendable aussi, c'est sûr. Maintenant en pratique, ce qui est important, c'est qu'un simple fichier CSV peut représenter un risque de sécurité. Je n'ai pas l'impression que ce soit de notoriété publique.

Pour la question du "désactivé par défaut", pour moi ça veut dire "il faut aller dans les options changer un réglage pour pouvoir l'utiliser". Un simple popup à l'ouverture d'un document a un apport quasi nul en matière de sécurité, parce ce que tout ce que l'utilisateur verra, c'est "cliquer ici pour que ça marche" (et au bout de quelques fois, il cliquera machinalement sans même y penser).