Con la inserción de código SQL un hacker puede modificar las consultar originales que debe realizar la aplicación y ejecutar otras totalmente distintas con la intención de acceder a la herramienta, borrar los datos almacenados o acceder a otras tablas pertenecientes a otras bases de datos alojadas en ese mismo servidor, entre otras muchas cosas.

Esto es posible debido a que el uso de ciertos caracteres en los campos de entrada de información por parte del usuario (como por ejemplo un formulario), posibilitan coordinar varias consultas SQL o ignorar el resto de la consulta, permitiendo al atacante ejecutar la consulta que elija, de ahí que sea necesario realizar un filtrado de los datos enviados para evitar problemas.

Leer texto completo.