Нашел у себя в скрипте дыру, могут ли выполнить sql inject?

когда в поиск ввожу http://site/?search_word='test выдает ошибку:

Код (Text):

1. You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'test%' UNION ALL SELECT id,posted,name,news_pic,short,42 as raz FROM auto_r' at line 1

выглядет это как мы видем так: 'test%'

Могут сделать инъекцию sql или нет? Лично я пробовал не получилось значит опасности нет:?

 

я и хочу убедиться у знающих людях внимание этому уделять или тут ничего сделать нельзя, если нет то нету необходимости править