Fallos del tipo CWE-698

Um login falha, o código chama header('Location: /login') e depois prossegue para buscar dados do usuário do banco. Como o header não interrompe a execução em PHP, a query roda mesmo com o redirecionamento pendente, vindo ou não do cliente.

Use exit() ou return imediatamente após chamar redirecionamento (exemplo: header(...); exit;). Na prática, estruture o fluxo com if/else claro para que código sensível fique em branches exclusivas, nunca após redirect.