Nessun controllo dei dati inviati tramite $_GET. Come hai fatto potrei cancellarti tutti i record.

Penso basterebbe mettere in id 0' or 1=1 -- per cancellare tutti i dati. Ma non sono uno specialista.