всем её ученикам добавляется его копия (чтобы можно было оплачивать дни для каждого отдельно).
По своему опыту такие уязвимости бывает не только по незнанию, когда человек пишет приложение - он тестирует много чего и на момент теста не применяется 100500 алгоритмов очистки входящих значений,
Понятно что там в примере можно было создать белый список из кодов стран,
$login = [$user => $password]; - на помойку
дальше одна операция сравнения