О какой инъекции идет речь, если единственный непостоянный параметр здесь это "$b".
Можно подменить "INSERT"? `menu`?
И как можно подменить переменную $b таким образом, чтобы получить доступ, например, к списку пользователей с логинами и паролями?