Sip entiendo, debes tener en cuenta que para que una SQL sea vulnerable, es necesario que use datos enviado por el usuario para poder usarlo y realizar la consulta.
Si es ese el caso, aunque no seria muy usual ya que seria mas lento hacerlo de esa forma y tampoco es la tipica forma de comprobar el password de la DB con el password ingresado. Lo mas probable es que utilize un nombre de usuario para hacer el select a un registro especifico y hay pudieras manejar la consulta SQL.
Dependiendo como maneje la consulta, si imprime algun campo pudieras extraer datos de la BD sin necesidad de poder hacerle un bypass al login.
Exacto, yo por eso intento usar siempre @mysql_blabla , asi si da algun error en la consulta el usuario no se daria cuenta lo que complicaria el asunto al intentar hacer algun ataque.