Sorguların içine değişken sokmak potansiyel SQL injection sebebi..

mysql_real_escape_string($s)