Тут дело в структуре запроса. Из SELECT-а не сделать UPDATE (в MYSQL вроде бы так...), а иньекция в большинстве случаев в SELECT.

Или можно?