そうです。不要なコンテンツを無視するようにコードを準備しなければ、攻撃者はそれらを使って悪意のあるコードを注入することができます。例えば、あなたのコードを破ったり、データベースから機密データを抜き取ったり、あなたのソースコードを恒久的に書き換えて、攻撃者が所有する外部のデータベースに機密データを送信したりすることができます。
Yes, they are. If you do not prepare your code to ignore unwanted content, an attacker can use them to inject malicious code. For example, they can either break your code, extract sensitive data from a database or permanently rewrite your source code to send the sensitive data to an external database owned by the attacker.