PHP-инъекции в прошлом?
PHP-инъекция становится возможной, если входные параметры принимаются и используются без проверки.Источник То есть, они есть, были и будут пока есть те кто не защищает входные параметры/данные/и т.д.
Сейчас все нацелены на XSS, даже гугл готов платить 7500$ за уязвимость.
Вот и мини игра - https://xss-game.appspot.com/
Недавний пост на habr о XSS habrahabr.ru/post/224773
Они есть и будут есть, так что надо проверять данные.