Vou sugerir duas coisas:

1. Certifique-se de que Register_globals está desativado.
2. Use declarações preparadas .