Кавычки тут фильтруются, а вот символ \ который нарушает синтаксис, вредоносным не считается. Поэтому искать в другом месте SQL, и не забывать про семью