توجد مشكلة تسمح للمهاجمين المصادق عليهم الذين يحملون دور «CRM Agent» أو دور «CRM Manager» أو امتيازات مسؤول WordPress، بالإضافة إلى الصلاحية `erp crm list contact`، بتنفيذ هجوم حقن SQL. يحدث هذا لأن المعلمة `erpadvancefilter` لم يتم تهريبها بشكل كافٍ ولم يتم إعداد استعلام SQL المقابل بشكل صحيح. يستخدم المعالج دالة `sanitize text field`، التي تسمح باستمرار وجود علامات الاقتباس المفردة، وتقوم الدالة `erp crm contact advance filter()` بإدراج هذه القيمة مباشرةً في جملة WHERE في SQL محاطة بعلامات اقتباس مفردة يتم تنفيذها عبر `$wpdb->get results()`. وهذا يسمح للمهاجمين بإلحاق استعلامات SQL إضافية لاستخراج معلومات حساسة من قاعدة البيانات.