Estamos desenvolvendo uma área restrita. Ao validar o Login, nós fazemos:

Imaginemos que um usuário mal intencionado digite nos campos a seguinte string:

1' OR 1='1

A nossa string SQL ficaria assim:

SELECT * FROM Users WHERE user='1' OR 1='1' AND senha='1' OR 1='1'

Como no final teremos um OR 1=1, o resultado da string sempre retornará verdadeiro.

Teríamos que, na resposta da SQL, todos os ítens seriam selecionados. E o usuário mal intencionado terá um login QUALQUER, provavelmente o primeiro login do registro da tabela.

Logar como usuário definido.
(Lembramos que esse código vale para o mySQL e não foi testado em outros BDs. Mas quem quiser testar, poste o resultado aqui depois.)

No mySQL, o Caractere # (sustenido) age como comentário. Então, o nosso 'amigo' usuário malicioso coloca a seguinte string no campo de login:

admin'#

Independente da senha, teremos no final a seguinte instrução SQL:

SELECT * FROM Users WHERE user='admin'#' OR 1='1' AND senha='qualquer'

Já que tudo que há à direita do sustenido é comentário, então a instrução SQL se resume a isso:

SELECT * FROM Users WHERE user='admin'

É possível assim acessar qualquer usuário sem precisar da senha.

Solução:
Tratamento de dados. Colocar uma barra (\) antes das aspas simples, fazendo com que a SQL não interprete as aspas simples como parte da string SQL.