Здравствуйте, <Аноним>, Вы писали:

А>Дальше $url будет заэскейплен/заквочен и добавлен в базу данных.
Тогда уязвимость возникает в момент ескейпленья/квочения. Если сделать его неаккуратно, то можно получить всё, что угодно.