Hola...
Debes saber usar esa función para evitar fallos de seguridad. Lee la documentación de php sobre
extract() para conocer su uso apropiado.
Además, depende también de ti filtrar lo que reciben las variables. Si haces un buen filtrado, no tendrías de que preocuparte.
Saludos.