No, no y no
Jamas dejes que el usuario sea el que decida en que tabla buscar, porque eso es una brecha de seguridad demasiado grande y sumamente peligrosa.
Pero si no te queda de otra más que dejar que el usuario sea el que elija la tabla en la cual buscar, lo que tienes que hacer obligatoriamente antes de pasar el nombre de la tabla a la consulta, es compararla previamente con el nombre de las tablas que en realidad quieras que sean en donde se va a buscar.
Tomemos un ejemplo, imagina que tienes tu html así:
<form method="POST" action="">
<input type="text" name="consulta">
<select name="tabla">
<option value="kb">KB</option>
<option value="inc">INC</option>
</select>
<input type="submit" name="buscar" value="Buscar">
</form>
y un usuario modifica el html así:
<form method="POST" action="">
<input type="text" name="consulta">
<select name="tabla">
<option value="users">KB</option>
<option value="admin">INC</option>
</select>
<input type="submit" name="buscar" value="Buscar">
</form>
Ya te puedes imaginar lo que puede pasar.
Entonces, suponiendo que las unicas tablas en las que el usuario tiene permitido buscar son esas dos (kb e inc), tu código sería el siguiente:
if(isset($_POST['submit'])){
$consulta = utf8_decode($_POST['consulta']);
$tabla = utf8_decode($_POST['tabla']);
//Tablas en donde quieres que el usuario busque
$tablaspermitidas = array('kb','inc');
//Verificamos que el valor de la tabla se encuentre o no en array.
//Si se encuentra en el array de las tablas permitidas, no modificamos nada.
//Si es un usuario malicioso y modifico el valor, al no estar en el array,
//modificamos el valor de $tabla y ponemos una por defecto
if (!in_array($tabla, $tablaspermitidas)) {
$tabla = 'kb';//Tabla por defecto en caso de que el usuario modifique el HTML
}
$query = mysqli_query($link,"select * from '$tb' WHERE ap_referida='$consulta'" )
or die(mysqli_error($link));
Esa pequeña adición al código te salvará de muchos contratiempos.
Saludos