Este codigo evita sql injection?

[cslbcn]

Hola a todos.

Quería preguntaros una duda que me ha surgido.
He estado probando y no he podido loguearme usando como contraseña tipicos ataques estilo 'or '1'='1

El código es el siguiente:
NOTA:
$password es una cadena codificada en MD5.
$passwordNoMD5 es una cadena tal cual la recibo del usuario, sin comprobaciones de control ni nada.

Código PHP:

$qry = "SELECT password FROM clients WHERE username='$username' AND password='$password' OR password='$passwordNoMD5'";
if ($sql = mysql_query($qry)){
    $client = mysql_fetch_assoc($sql);
    if ($client['password'] == $password || $client['password'] == $passwordNoMD5){
        return true;                    
    }else
        return false;
    }
 

Existe vulneración alguna?

Gracias de antenamo.