Да, SQL-инъекции — это классика жанра для тех, кто забыл про подготовленные запросы и фильтрацию. Это как ставить запятую не там, где нужно, и удивляться, что предложение стало бессмыслицей. Главное — не давать базе повод подофичивать, а то потом долго будут разгребать последствия.