Ап.
Есть уязвимость в запросе такого вида:
UPDATE <table> SET <pole>=100 WHERE <drugoe_pole>=$var
Вот я могу в $var подставить все, кроме ", '... Есть возможность что-нить сделать?
В пхп это выглядит как (своя функция):
Mysqlquery("UPDATE <table> SET <pole>=100 WHERE <drugoe_pole>=$var");
Вот-с...