PHP - Vulnerabilidades Web

@ $postEnviado = $_POST [ 'enviado' ];

@ $postNombre = trim ( $_POST [ 'nombre' ] );

@ $postCorreo = trim ( $_POST [ 'correo' ] );

@ $postComentario = trim ( $_POST [ 'comentario' ] );

if ( $postEnviado ) {

   require_once ( '../_script/siteCore.php' );

   try {

      $objContacto = new PDO ( 'mysql:charset=' . $charset . ';host=' . $host . ';dbname=' . $dbase, $user, $pass );

      $stmContacto = $objContacto -> prepare ( '

         INSERT INTO bes_contactanos (

            Nombre,

            Email,

            Comentario

         )

         VALUES (

            :nombre,

            :email,

            :comentario

         )'

      );

      $stmContacto -> bindParam ( 'nombre', $postNombre, PDO::PARAM_STR );

      $stmContacto -> bindParam ( 'email', $postCorreo, PDO::PARAM_STR );

      $stmContacto -> bindParam ( 'comentario', $postComentario, PDO::PARAM_STR );

      $stmContacto -> execute ();

      $objContacto = null;

      }

   catch ( PDOException $exception ) {

      include_once ( '../_script/exceptionPDO.php' );   // Página dónde muestro un error genérico

   }

   $objContacto = null;

}

echo '<form name="contacto" action="./" method="post">';

   echo '<input type="hidden" name="enviado" value="enviado">';

   echo '<span>Nombre completo</span> *';

   echo '<br>';

   echo '<input title="Nombre completo" type="text" name="nombre" placeholder="Su nombre completo" value="' . $postNombre. '" spellcheck="false">';

   echo '<br>';

   echo '<span>Correo electr&oacute;nico</span> *';

   echo '<br>';

   echo '<input title="Correo electr&oacute;nico" type="text" name="correo" placeholder="nombre@dominio.com" value="' . $postCorreo. '" spellcheck="false">';

   echo '<br>';

   echo '<span>Comentario</span> *';

   echo '<br>';

   echo '<textarea title="Comentario" name="comentario" placeholder="&iquest;Cu&aacute;les son sus comentarios o dudas?">' . $postComentario. '</textarea>';

   echo '<br>';

   echo '<input title="Enviar" type="submit" value="Enviar">';

echo '</form>';