Login script, kan det hackes?

Jeg bruger dette login script:
Jeg har hørt at det kan hackes ved at indsætte en simpel SQL sætning i formen i feltet "username"
kan man det? og hvordan kan man forhindre dette?

<% if request("action") = "login" then
if request.form("username") = "" then
error = "You must enter a username"
else
if request.form("password") = "" then
error = "You must enter a password"
else
set login = con.execute("SELECT * FROM users where username = '" & request.form("username") & "'")
If login.BOF or login.EOF then
error = "No such user"
else
if login("password") = request.form("password") then
bla bla bla (skjult af sikkerhedsmæssige grunde)
else
error = "Incorrect password"
end if
end if
end if
end if
end if %>