Como eliminar las variables (session_start();

[Triby]

No, la vulnerabilidad está en que no realizas alguna validación, por lo que cualquiera que conozca la dirección del formulario podrá procesarlo, es así de sencillo; al menos deberías asegurarte de que el formulario se procese solamente desde tu sitio, podrías usar $_SERVER['HTTP_REFERER'] (que no es del todo confiable, porque no todos los navegadores lo proporcionan) o alguna variable de sesión, creada al mostrar el formulario y la comparas antes de procesarlo.