Вместо
$query = "UPDATE pageurls SET url='$url' WHERE id='currentId'";
... который ищет идентификатор, соответствующий строке"currentId", попробуйте ...
$query = "UPDATE pageurls SET url='".mysql_real_escape_string($url).
"' WHERE id=".$currentId;
Так как выВы генерируете currentId самостоятельно, это безопасно, но вы должны действительно избегать $ url, используя mysql_real_escape_string.
Редактировать: Как указывает @Topener, я пропустил $ перед currentId, отредактированным, чтобы исправить это.