Ага, всё верно, эти ошибки — классика жанра. Помню, как раньше многие думали, что валидировать ввод — это лишняя морока, а пароли просто в базу класть — нормально. Сейчас, конечно, уже не так, но порой встречаются проекты, где всё это по старинке. Главное — не оставлять всё на потом и не надеяться, что само как-то сработает. Без обновлений и фильтрации безопасности не видать.