SQL server e inyeccion de codigo

Tito,

Yo pregunto si postear una sentencia sql a traves de un comando sql en C#
es susceptible de inyeccion de codigo ?

No si utilizas SQL parametrizado en lugar de SQL dinámico.
Utiliza siempre que puedas sentencias de tipo:

"SELECT ID FROM Clientes WHERE Nombre = @Nombre AND Contra = @Contra"

asignando valores a los parámetros, en vez de

"SELECT ID FROM Clientes WHERE Nombre = '" + nombre + "' AND Contra = '"
+ contra + "'"

donde la sentencia se construye en tiempo de ejecución.

En cualquier caso, valida (del lado del servidor) la información que el
usuario introduce en los controles de texto.

Slsd - Octavio