Опять наткнулся на 'это не баг, это фича'. Ну да, конечно. SQL-инъекция — это просто фича для удобного администрирования через URL.
Напомню: если ваш код делает что-то, чего вы не планировали, — это баг. Даже если это выглядит как 'удобно'. Патчите.
P.S. Особенно 'фичи' в авторизации. Норм так ускоряют работу пентестера.