Гитхаб с руби - это так себе энтерпрайз. Со джавой/спрингом я подобных уязвимостей особо не помню, допустим (хотя могу не знать).

Но вообще если исключить криворукость (которой гораздо меньше, чем было) основная причина - это совершенно убогие возможности SQL в этом плане - потому что prepared statements, собственно, никогда и не задумывались как механизм обеспечения безопасности - а только как оптимизация. В результате там можно гораздо меньше, чем надо для ORM и прочих динамически формируемых запросов, и часто тупая генерация строки оказывается гораздо более общим и предсказуемым методом.

По идее, давно пора добавить ещё уровень - где динамическим было бы всё, от имён таблиц и полей до ключей запроса. Сделать это, в принципе, не так сложно - как минимум просто гнать набор токенов с явным указанием ожидаемого типа токена, как максимум - сразу синтаксическое дерево (которое один хрен строят ORMы, потом сериализуют, а потом база это дело парсит).