Вы передаете в SQL полученное извне без проверки. Злоумышленник может передать в ваш скрипт не "Admin" в параметре user, а строку, которая удалит все ваши таблицы или выведет все данные по пользователям. Почитате про SQL-инъекции.
hoarywolf: инъекции в данный момент меня не интересуют, потому что до появления сего в сети еще далеко. В данный момент мне нужно, чтобы у таблицы было имя из переменной.
