И вполне уязвимость, ошибка т.к. ты заэкранировал '. Попробуй передать \' , и посмотри что будет, вполне возможно, что кавычка будет экранироваться, но ты это экранирование убъёшь при помощи \., т.е. получится \\' , а значит ' - будет частью команды SQL, а не просто текстовым символом.

А может и ' не заэкранируется вообще, тогда ещё проще.

__________________
Я отдал бы немало за пару крыльев,
Я отдал бы немало за третий глаз
За руку на которой четырнадцать пальцев
Мне нужен для дыхания другой газ..

Мой блог:http://qwazar.ru/.