Непроверенные данные подставляются в SQL так, что могут изменить структуру запроса.

Подавление ошибок базы данных само по себе создаёт SQL-инъекцию.

Каждый параметр URL является уязвимостью для инъекции, даже если он никогда не попадает в SQL.

Любое приложение, использующее базу данных, автоматически уязвимо.