Ale nie som programátor.

a co ti s tím mají společného?

Vždy v prílohe *.pdf. Je bezpečné zobraziť to PDFko priamo v emalovej schránke?

pdf soubor může obsahovat javascript. záleží, jak tupým nástrojem ho prohlížíš, jestli je schopný ho interpretovat - ke tvé škodě.
třeba areader má javascript default povolený.
ve win10 ho běžně zastává edge. jak js zpracovává nevím. zato je tak moderní, že najít něco v jeho nastavení je nemožné.