A exploração de SQL injection pode ser bem-sucedida contra...

o servidor não envie cabeçalhos ou diretivas de segurança, ou eles não estejam configurados para proteger os valores.

recursos desnecessários, por exemplo, portas, serviços ou privilégios, sejam ativados ou instalados no banco de dados.

não haja separação, em níveis, entre as camadas do sistema e as camadas de rede, sendo desconsideradas as necessidades de exposição e proteção.

dados hostis sejam usados nos parâmetros de pesquisa de mapeamento relacional de objeto para extrair registros adicionais.

limites para o consumo de recursos do sistema por usuários ou por serviços sejam mal configurados ou sequer estejam configurados.