Una inyección SQL exitosa no se limita a saltarse un login.

¿Qué más podría lograr un ataque de este tipo, dependiendo de los permisos de la consulta?