В add.php 2 дырки, прогони пост данные через mysql_real_escape_string(). Дальше не смотрел, возможны ещё бяки.