メールヘッダーインジェクションって現バージョンのPHPではどうなんですか？
mail()やmb_send_mail()で対策されたとネット上で見かけたのですが(´・ω・`)