1С это платформа, все зависит от конкретной конфигурации. В типовых конфигурациях никакой введенный пользователем в виде текста код не выполняется, посему инъекции не возможны. Только в случае, если ему открыт доступ к внешним файлам, о чем выше писал пользователь
stratosmi, тогда злоумышленник может в рамках компетенций своих прав выполнить любой запрос к базе. Но опять же - если его права четко ограничены пользовательским доступом, то даже при открытых внешних файлах система не даст менять объекты программно.