Я использую PHP и SQL с Mysqli, но код небезопасен

Question

У нас в школе был проект с участием PHP, HTML и CSS.Я написал этот код для проекта и показал своему учителю, но он сказал, что его использование небезопасно.Я предоставил код внизу.

<?php
    $con = new mysqli($host, $dbuser, $dbpass, $dbname);

    if(isset($_POST["title"]) && isset($_POST["message"]) && $_POST["message"] != '') {
        $stmt = $con->prepare("INSERT INTO messages (title, message) VALUES (?, ?)");
        $stmt->bind_param('ss', $_POST["title"], $_POST['message']);
        $stmt->execute();
        $stmt->close();
    }

    $sql = "SELECT *  FROM messages";
    $result = $con->query($sql);

    if ($result->num_rows > 0) {
        while($row = $result->fetch_assoc()) {
            echo "<strong>Titel: </strong>"  . " "   . $row["title"]   . "<br>\n";
            echo "<strong>Bericht: </strong>". " "  . $row["message"] . "<br>\n";
            echo "<br />";
            echo "<hr />";
        }
    } else {
        echo "<b>No messages found!</b>";
    }

Я бы оценил его, если бы вы, ребята, могли бы помочь мне.