¿Puedo ser hackeado con este código?

Sí. Esto se llama inyección SQL. En cualquier lugar donde los valores proporcionados por el usuario se incluyan directamente en una instrucción SQL, esta es una posibilidad.