ah...un avvertimento...
controlla i valori in _POST e fai un escape dei caratteri pericolosi

ciauz