Ano. Tomu se říká SQL injection. Kdekoli jsou hodnoty zadané uživatelem přímo zahrnuty v příkazu SQL, je to možné.