Prova ad usare mysql_real_escape_string quando prepari le variabili.