Fossi in te non inserirei variabili $_POST direttamente nel db senza controllo. Li sei pronto per una sql injection.