C pas une 'faille' parce que la plus part des script initialise leur variable avant de les utilisé.
Par exemple tu a un if et dedans tu met $SQLCONDITION2 à "AND test2=122"
Et tu passe cette variable dans uen requete SQL, genre
"SELECT * FROM table WHERE user='fjdjk'" + $SQLCONDITION1 + $SQLCONDITION2;
et donc tu support que les SQLCONDITIONx sont vide si tu n'est pas passé dans ton IF. ( C un exemple a la con, JE SAIS )
et ben l'user pourait initialisé SQLCONDITION2 par exemple à ";DROP TABLE table;" et voila, si tu ne passe pas dans le corp du IF, tu drop ta table ...