为什么使用用户输入作为格式控制会导致安全漏洞？

Question

在java中，可以使用printf，如下所示：

System.out.printf("User name is:%n%s%n", user.getName());

不鼓励使用来自用户的输入格式控制字符串（即"User name is:%n%s%n"）。虽然我可以看到这样做是个坏主意，但是当这导致安全问题时，我找不到具体的例子。我想知道是否有人能举例说明这种糟糕的编程习惯会导致安全漏洞。