JSON é apenas uma linguagem de marcação de dados. Nada além disso. Ela não deve executar nada além de fornecer dados.
Problemas de segurança relacionados ao JSON tem a ver com a implementação do parser e do programador que está usando ele.
É injusto associar esses problemas ao JSON. Estes problemas podem ocorrer com XML, MessagePack ou até mesmo plaintext.
Pois estão meu nobre, não estou dizendo que ocorre somente com JSON. E sim afirmando que é possível acontecer. Os erros e ataques são em maior parte relacionado a problemas de validação, mas os dados são roubados dos arquivos JSON. Em nenhum momento afirmei que esses erros acontece somente em JSON. Isso é um problema que pode ocorrer em diversas outras áreas pelo o mesmo motivo. Eu quis abordar JSON pois como eu citei, foi meu objeto de estudos esses dias, e portanto, resolvi fazer com JSON. Mas poderia ser com várias outras tecnologias.
Sei que a comunidade tem uma carinho grande pelo o jSON, eu tbm tenho. O intuito nunca foi atacar e sim alertar. Escolhi JSON, poderia ser uma outra qualquer, e vida que segue.