LIKEオペレーターによるMySQLインジェクション

どんなオペレーターも拘束せずに注射することができます。

$_POST['search'] = "1%'; DROP TABLE myTable LIKE '%";

作るだろう

.... AND tags,title,text LIKE '%1%'; DROP TABLE myTable LIKE '%%'

パラメータをバインドする方法 をお読みください 。