большинство людей под SQL injection подразумевают SQLi именно в select запросе, чтобы не заблуждать человека задающего вопрос нужно было добавить что данный способ работает только в апдейт запросах