Wikipedia schreibt:
[q]
SQL Injection (zu deutsch SQL-Injektion) bezeichnet das Ausnutzen einer Computersicherheits-Lücke. Der Angreifer versucht SQL-Abfragen zu manipulieren. Hierzu werden über die Applikation, die den Zugriff auf die Datenbank bereitstellt, SQL Statements eingefügt.
[..]
SQL-Injection-Bugs treten auf, wenn eine Applikation SQL-Abfragen an den Server weiterreicht, ohne benutzerveränderbare Parameter mit Maskierungszeichen zu versehen. So muss in Zeichenfolgen das '-Zeichen und in einigen Datenbanken zusätzlich der \ durch Voranstellen eines umgekehrten Schrägstriches maskiert werden: \' bzw. \\. Außerdem muss sichergestellt werden, dass Zahlen nur aus Ziffern und dem Dezimaltrennzeichen bestehen.
[/q]