Une injection SQL est-elle réellement possible en ajoutant une deuxième requête ?

"Injection SQL" n'est pas égal à "deuxième requête".

Ils le sont sûrement.

La deuxième requête n'est qu'un exemple . Bien qu'il puisse s'agir de n'importe quelle instruction SQL valide. L'injection SQl est un exploit de requête mal formatée. Si un développeur ne formate pas correctement SQL, il est possible de dépasser les limites du littéral et d'ajouter du code au corps SQL.

Oui, cela dépend de l'API que vous utilisez.