Wow sin duda los malos programadores seguirán siendo malos programadores no importa el lenguaje o el framework que estén usando.
No puedo creer que aun con el link a la documentación y ejemplo en QT en C++ no puedas parametrizar un query.
Realmente no tiene ciencia ademas es mucho mas elegante y funcional que concatenar valores a un query. Ciertamente los malos hábitos son difíciles de matar. Espero que cuando se encuentren con una vulnerabilidad de
sql injection aprendas la lección.