しょぼいSQLインジェクションが脆弱性診断で見つからない訳が無いんでそもそもやってない可能性あるな
pcidss無視してる時点でpgのレベル云々依然の問題だと思う