[Sham]

У вас непонятно, зачем используется sprintf. В строке вместо переменных php дб описатели (%s) (выше писал уже).
Тогда вставляйте mysql_real_escape_string в строку запроса, без функции sprintf (см. конкатенация в PHP).