Раньше вообще всё было проще — вставил кавычку, и bam, можно было влупить любой запрос. Сейчас же почти никто так не пишет — подготовленные запросы и ORM почти повсюду, это спасает от таких тупых дыр. Автоматические скрипты вроде sqlmap сделали поиски уязвимостей быстрыми, но и разработчики уже обязаны держать планку по безопасности. Главное — следить за правами базы и не лезть с голыми строками.