Новая техника SQLi через конкатенацию:

'||Column_name--+

Затем:

'||table_name.column_name--+ с использованием точечной нотации.

То есть:

'||not_valid_column_name--+ → возвращает ошибку
'||valid_column_name--+ → успешно
'||valid_table.valid_column--+ → успешно

Я получил баг-баунти за этот долбаный простой PoC, потому что Akamai и бэкенд ограничивали ввод восемью символами. Мне просто повезло, что название колонки было id.

👉 @cybersecinform