Solução

Nome	Valor
Vulnerabilidade	SQL Injection (SQLi)
CWE	CWE-89
OWASP Top Ten	A03_2021-Injection

Esse é o clássico SQL Injection, que é quando o input do usuário não é devidamente tratado e acaba contendo instruções SQL que são executadas no banco de dados.

Nesse exercício, você pode simplesmente colocar a' UNION SELECT email, password FROM users -- (com um espaço em branco no final) como input no campo de email e notará que o resultado será a lista de todos os usuários do banco de dados e suas respectivas senhas (que esperamos que sejam hashes e não senhas em texto claro).

Como você pode executar SQL livremente, dá para fazer muito mais do que isso. Inclusive em condições específicas é até possível obter uma shell no sistema operacional.