Hallihallo!
Gern geschehen :)
p.s. die datei ist hinter einem .htaccess versteckt :)
Es werden also keinerlei Nutzereingaben in $ysql eingesetzt?
Meine Hinweise auf den Kontextwechsel beziehen sich in diesem Deinen Fall auf SQL Injection.
Google Dich einfach mal schlau, was da Alles passieren kann...
Beste Grüsse,
Tobias Hahner