Возможна ли тут SQL инъекция?
Да, это открытая SQL Injection уязвимость. Можете использовать mysql_real_escape_string для экранирования если используете старые методы для работы с БД. Если нет, отпишите в комментариях, объясню как это сделать через другие методы.WHERE username = '".mysql_real_escape_string($_POST['user'])."'
Да.Прочитайте