posso essere hackerato con questo codice?

Sì. Questo è chiamato SQL injection. Ovunque i valori forniti dall'utente siano inclusi direttamente in un'istruzione SQL, questa è una possibilità.