sarà un sql injection , hai fatto i controlli sul $_POST_?