JSF - Passagem de parâmeto não autorizada

Alguém sabe se é seguro utilizar a tag <f:param value=“meuValor” /> para passagem de parâmetros para a aplicação (para gerenciamento de acesso)?
Caso eu utilize desta maneira, será que algum usuário mal intencionado pode fazer a passagem de outro valor através da técnica form injection?