C) т.к. в sql запрос передаются переменные от юзера и нечем не фильтруются.