Serangan suntikan SQL yang dipanggil bermakna penyerang memasukkan arahan SQL ke dalam medan input borang web atau rentetan pertanyaan permintaan halaman, untuk menipu pelayan supaya melaksanakan perintah SQL yang berniat jahat. Dalam sesetengah bentuk, input pengguna digunakan secara langsung untuk membina (atau mempengaruhi) arahan SQL dinamik, atau sebagai parameter input untuk prosedur tersimpan terutamanya terdedah kepada serangan suntikan SQL.