...anche perchè nella segnalazione c'è un OR, anzichè un AND.

A "occhio" il problema sorge nel momento in cui parte del parametro viene interpretato come parte della query, ossia una sorta di SQLinjection involontaria