TO_NUMBER函数在Oracle中存在安全性问题，主要是因为用户输入的数据可能包含恶意代码或者格式不正确的数据，导致TO_NUMBER函数无法正确解析数据，从而产生SQL注入或数据类型转换错误等安全问题。
如果用户输入的数据没有经过正确的验证和过滤，直接传递给TO_NUMBER函数进行转换，就会有可能造成安全漏洞。攻击者可以通过构造恶意输入来执行恶意操作，比如SQL注入攻击、数据类型转换错误等。因此，使用TO_NUMBER函数时，必须对用户输入数据进行充分验证和过滤，确保输入数据符合预期的格式和范围，避免安全问题的发生。