Типичная sql инъекция, для этого сущствует специальная тема. А вот что касается этого, то это меня вообще убило, делаем то сами не зная что:

http://comp.com/x.php?ProdID=916+order+by+5/*