Ookay, den Programmierschnitzer hab ich vom Prinzip, glaube ich, verstanden.
Aber diese _GET-Variable bestimmt ja 'nur', aus welchem Teil der DB das Foto geladen wird. Könnte denn, wenn dieser Befehl korrumpiert wird, auch externer Code eingeschleust werden, oder könnte schlimmstenfalls falsches Material aus meiner Datenbank geladen werden?

Zitat von sandero

Könnte denn, wenn dieser Befehl korrumpiert wird, auch externer Code eingeschleust werden, oder könnte schlimmstenfalls falsches Material aus meiner Datenbank geladen werden?

Da könnte so ziemlich alles mit gemacht werden, vom simplen Löschen der gesamten Datenbank bis hin zum Setzen anderer Passwörter.
Wenn Du das Skript z.b. mit

PHP-Code:

hxxp://link-zum-programm/grossesbild.php?so=0; update users set passwort=md5('1234') where username like 'admin'; 


aufrufst erzeugt es folgendes SQL statement:

PHP-Code:

"select * from grossebilder where sorte=0; update users set passwort=md5('1234') where username like 'admin';" 


das sind dann 2 SQL Befehle. leuchtet es ein?
es gibt noch viel mehr Möglichkeiten, bis hin zu Code Injection. Eine ungeprüfte _GET Variable ist eine offene Einladung zum Hacken.