А где $crash = clear($_POST['crash']); ?

В общем, если обе переменные проходят через clear, инъекции нет.