¿El uso de encabezados de PHP durante el inicio de sesión hace que el formulario sea vulnerable a los ataques?

No lo creo, pero al leer en línea parece que este tipo de código es vulnerable, ya que no estoy terminando con exit(); y, por lo tanto, podría explotarse redirigiendo o cambiando el contenido de los encabezados.

He intentado explotarlo utilizando BurpSuite pero no pude redirigir mis encabezados a las páginas de inicio de sesión.

if ($status == 0)
    {
        header('location:index.php?status=fail');
    }
else
    {
        if ($_SESSION['level'] == 1)
        {
            header('location:basicuser');
        }
        if ($_SESSION['level'] == 2)
        {
            header('location:prouser');
        }
        if ($_SESSION['level'] == 3)
        {
            header('location:admin');
        }
    }