мое мнение - только если есть file_priv, у пользователя mysql.
ну или в самой базе содержится Php код, и потом выполняется в eval ... (очень редко такое бывает)