SQL Injection in WooCommerce Analytics Report Export

The WooCommerce Analytics report export (the wc-analytics/reports//export REST route and the queued CSV export behind it) passed the caller’s report arguments to the report query without validating them against that report’s schema, so an orderby value outside the allowed list reached the SQL ORDER BY clause unchanged. A user who can view WooCommerce reports, such as a Shop Manager, could use it for blind SQL injection against the store database. The patch validates the export arguments against the target report’s schema, as upstream 11.0.1 does.

This vulnerability affects the following application versions:

• WooCommerce 10.0.0
• WooCommerce 10.0.0-rc.1
• WooCommerce 10.0.0-rc.2
• WooCommerce 10.0.1
• WooCommerce 10.0.2
• WooCommerce 10.0.3
• WooCommerce 10.0.4
• WooCommerce 10.0.5
• WooCommerce 10.0.6
• WooCommerce 10.1.0
• WooCommerce 10.1.0-rc.1
• WooCommerce 10.1.0-rc.2
• WooCommerce 10.1.0-rc.3
• WooCommerce 10.1.0-rc.4
• WooCommerce 10.1.1
• WooCommerce 10.1.2
• WooCommerce 10.1.3
• WooCommerce 10.1.4
• WooCommerce 10.2.0
• WooCommerce 10.2.0-beta.1
• WooCommerce 10.2.0-beta.2
• WooCommerce 10.2.0-rc.1
• WooCommerce 10.2.1
• WooCommerce 10.2.2
• WooCommerce 10.2.3
• WooCommerce 10.2.4
• WooCommerce 10.3.0
• WooCommerce 10.3.0-beta.1
• WooCommerce 10.3.0-beta.2
• WooCommerce 10.3.0-rc.1
• WooCommerce 10.3.0-rc.2
• WooCommerce 10.3.1
• WooCommerce 10.3.2
• WooCommerce 10.3.3
• WooCommerce 10.3.4
• WooCommerce 10.3.5
• WooCommerce 10.3.6
• WooCommerce 10.3.7
• WooCommerce 10.3.8
• WooCommerce 10.4.0
• WooCommerce 10.4.0-beta.1
• WooCommerce 10.4.0-beta.2
• WooCommerce 10.4.0-rc.1
• WooCommerce 10.4.1
• WooCommerce 10.4.2
• WooCommerce 10.4.3
• WooCommerce 10.4.4
• WooCommerce 10.5.0
• WooCommerce 10.5.0-beta.1
• WooCommerce 10.5.0-beta.2
• WooCommerce 10.5.0-rc.1
• WooCommerce 10.5.0-rc.2
• WooCommerce 10.5.0-rc.3
• WooCommerce 10.5.1
• WooCommerce 10.5.2
• WooCommerce 10.5.3
• WooCommerce 10.6.0
• WooCommerce 10.6.0-beta.1
• WooCommerce 10.6.0-beta.2
• WooCommerce 10.6.0-rc.1
• WooCommerce 10.6.1
• WooCommerce 10.6.2
• WooCommerce 10.7.0
• WooCommerce 10.7.0-beta.1
• WooCommerce 10.7.0-beta.2
• WooCommerce 10.7.0-rc.1
• WooCommerce 10.8.0
• WooCommerce 10.8.0-beta.1
• WooCommerce 10.8.0-beta.2
• WooCommerce 10.8.0-rc.1
• WooCommerce 10.8.1
• WooCommerce 10.9.0
• WooCommerce 10.9.0-beta.1
• WooCommerce 10.9.0-beta.2
• WooCommerce 10.9.0-rc.1
• WooCommerce 10.9.1
• WooCommerce 10.9.2
• WooCommerce 10.9.3
• WooCommerce 10.9.4
• WooCommerce 11.0.0
• WooCommerce 11.0.0-beta.1
• WooCommerce 11.0.0-beta.2
• WooCommerce 11.0.0-rc.1
• WooCommerce 11.0.0-rc.2
• WooCommerce 11.0.0-rc.3
• WooCommerce 4.0.0
• WooCommerce 4.0.0-beta.1
• WooCommerce 4.0.0-rc.1
• WooCommerce 4.0.0-rc.2
• WooCommerce 4.0.1
• WooCommerce 4.0.2
• WooCommerce 4.0.3
• WooCommerce 4.0.4
• WooCommerce 4.1.0
• WooCommerce 4.1.0-beta.1
• WooCommerce 4.1.0-beta.2
• WooCommerce 4.1.0-rc.1
• WooCommerce 4.1.0-rc.2
• WooCommerce 4.1.0-rc.3
• WooCommerce 4.1.1
• WooCommerce 4.1.2
• WooCommerce 4.1.2.1
• WooCommerce 4.1.3
• WooCommerce 4.1.4
• WooCommerce 4.2.0
• WooCommerce 4.2.0-beta.1
• WooCommerce 4.2.0-RC.1
• WooCommerce 4.2.0-RC.2
• WooCommerce 4.2.1
• WooCommerce 4.2.2
• WooCommerce 4.2.3
• WooCommerce 4.2.3.1
• WooCommerce 4.2.4
• WooCommerce 4.2.5
• WooCommerce 4.3.0
• WooCommerce 4.3.0-beta.1
• WooCommerce 4.3.0-rc.1
• WooCommerce 4.3.0-rc.2
• WooCommerce 4.3.0-rc.3
• WooCommerce 4.3.1
• WooCommerce 4.3.2
• WooCommerce 4.3.3
• WooCommerce 4.3.4
• WooCommerce 4.3.4.1
• WooCommerce 4.3.5
• WooCommerce 4.3.6
• WooCommerce 4.4.0
• WooCommerce 4.4.0-beta.1
• WooCommerce 4.4.0-rc.1
• WooCommerce 4.4.1
• WooCommerce 4.4.2
• WooCommerce 4.4.2.1
• WooCommerce 4.4.3
• WooCommerce 4.4.4
• WooCommerce 4.5.0
• WooCommerce 4.5.0-beta.1
• WooCommerce 4.5.0-rc.1
• WooCommerce 4.5.0-rc.2
• WooCommerce 4.5.0-rc.3
• WooCommerce 4.5.1
• WooCommerce 4.5.2
• WooCommerce 4.5.3
• WooCommerce 4.5.3.1
• WooCommerce 4.5.4
• WooCommerce 4.5.5
• WooCommerce 4.6.0
• WooCommerce 4.6.0-beta.1
• WooCommerce 4.6.0-rc.1
• WooCommerce 4.6.1
• WooCommerce 4.6.2
• WooCommerce 4.6.3
• WooCommerce 4.6.3.1
• WooCommerce 4.6.4
• WooCommerce 4.6.5
• WooCommerce 4.7.0
• WooCommerce 4.7.0-beta.1
• WooCommerce 4.7.0-beta.2
• WooCommerce 4.7.0-rc.1
• WooCommerce 4.7.1
• WooCommerce 4.7.1-beta.1
• WooCommerce 4.7.2
• WooCommerce 4.7.3
• WooCommerce 4.7.4
• WooCommerce 4.8.0
• WooCommerce 4.8.0-beta.1
• WooCommerce 4.8.0-rc.1
• WooCommerce 4.8.0-rc.2
• WooCommerce 4.8.1
• WooCommerce 4.8.2
• WooCommerce 4.8.3
• WooCommerce 4.9.0
• WooCommerce 4.9.0-beta.1
• WooCommerce 4.9.0-rc.1
• WooCommerce 4.9.0-rc.2
• WooCommerce 4.9.1
• WooCommerce 4.9.2
• WooCommerce 4.9.3
• WooCommerce 4.9.4
• WooCommerce 4.9.5
• WooCommerce 5.0.0
• WooCommerce 5.0.0-beta.1
• WooCommerce 5.0.0-beta.2
• WooCommerce 5.0.0-rc.1
• WooCommerce 5.0.0-rc.2
• WooCommerce 5.0.0-rc.3
• WooCommerce 5.0.1
• WooCommerce 5.0.2
• WooCommerce 5.0.3
• WooCommerce 5.1.0
• WooCommerce 5.1.0-beta.1
• WooCommerce 5.1.0-rc.1
• WooCommerce 5.1.1
• WooCommerce 5.1.2
• WooCommerce 5.1.3
• WooCommerce 5.2.0
• WooCommerce 5.2.0-beta.1
• WooCommerce 5.2.0-rc.1
• WooCommerce 5.2.0-rc.2
• WooCommerce 5.2.1
• WooCommerce 5.2.2
• WooCommerce 5.2.3
• WooCommerce 5.2.4
• WooCommerce 5.2.5
• WooCommerce 5.3.0
• WooCommerce 5.3.0-beta.1
• WooCommerce 5.3.0-rc.1
• WooCommerce 5.3.0-rc.2
• WooCommerce 5.3.1
• WooCommerce 5.3.2
• WooCommerce 5.3.3
• WooCommerce 5.4.0
• WooCommerce 5.4.0-beta.1
• WooCommerce 5.4.0-rc.1
• WooCommerce 5.4.1
• WooCommerce 5.4.2
• WooCommerce 5.4.3
• WooCommerce 5.4.4
• WooCommerce 5.4.5
• WooCommerce 5.5.0
• WooCommerce 5.5.0-beta.1
• WooCommerce 5.5.0-rc.1
• WooCommerce 5.5.0-rc.2
• WooCommerce 5.5.1
• WooCommerce 5.5.2
• WooCommerce 5.5.3
• WooCommerce 5.5.4
• WooCommerce 5.5.5
• WooCommerce 5.6.0
• WooCommerce 5.6.0-beta.1
• WooCommerce 5.6.0-rc.1
• WooCommerce 5.6.0-rc.2
• WooCommerce 5.6.1
• WooCommerce 5.6.2
• WooCommerce 5.6.3
• WooCommerce 5.7.0
• WooCommerce 5.7.0-beta.1
• WooCommerce 5.7.0-rc.1
• WooCommerce 5.7.1
• WooCommerce 5.7.2
• WooCommerce 5.7.3
• WooCommerce 5.8.0
• WooCommerce 5.8.0-beta.1
• WooCommerce 5.8.0-beta.2
• WooCommerce 5.8.0-rc.1
• WooCommerce 5.8.1
• WooCommerce 5.8.2
• WooCommerce 5.9.0
• WooCommerce 5.9.0-beta.1
• WooCommerce 5.9.0-rc.1
• WooCommerce 5.9.0-rc.2
• WooCommerce 5.9.1
• WooCommerce 5.9.2
• WooCommerce 6.0.0
• WooCommerce 6.0.0-beta.1
• WooCommerce 6.0.0-rc.1
• WooCommerce 6.0.1
• WooCommerce 6.0.2
• WooCommerce 6.1.0
• WooCommerce 6.1.0-beta.1
• WooCommerce 6.1.0-rc.1
• WooCommerce 6.1.0-rc.2
• WooCommerce 6.1.1
• WooCommerce 6.1.2
• WooCommerce 6.1.3
• WooCommerce 6.2.0
• WooCommerce 6.2.0-beta.1
• WooCommerce 6.2.0-rc.1
• WooCommerce 6.2.0-rc.2
• WooCommerce 6.2.1
• WooCommerce 6.2.2
• WooCommerce 6.2.3
• WooCommerce 6.3.0
• WooCommerce 6.3.0-beta.1
• WooCommerce 6.3.0-rc.1
• WooCommerce 6.3.0-rc.2
• WooCommerce 6.3.1
• WooCommerce 6.3.2
• WooCommerce 6.4.0
• WooCommerce 6.4.0-beta.1
• WooCommerce 6.4.0-rc.1
• WooCommerce 6.4.1
• WooCommerce 6.4.2
• WooCommerce 6.5.0
• WooCommerce 6.5.0-beta.1
• WooCommerce 6.5.0-rc.1
• WooCommerce 6.5.0-rc.2
• WooCommerce 6.5.1
• WooCommerce 6.5.2
• WooCommerce 6.6.0
• WooCommerce 6.6.0-beta.1
• WooCommerce 6.6.0-rc.1
• WooCommerce 6.6.0-rc.2
• WooCommerce 6.6.1
• WooCommerce 6.6.2
• WooCommerce 6.7.0
• WooCommerce 6.7.0-beta.1
• WooCommerce 6.7.0-beta.2
• WooCommerce 6.7.0-rc.1
• WooCommerce 6.7.1
• WooCommerce 6.8.0
• WooCommerce 6.8.0-beta.1
• WooCommerce 6.8.0-beta.2
• WooCommerce 6.8.0-rc.1
• WooCommerce 6.8.1
• WooCommerce 6.8.2
• WooCommerce 6.8.3
• WooCommerce 6.9.0
• WooCommerce 6.9.0-beta.1
• WooCommerce 6.9.0-beta.2
• WooCommerce 6.9.0-rc.1
• WooCommerce 6.9.1
• WooCommerce 6.9.2
• WooCommerce 6.9.3
• WooCommerce 6.9.4
• WooCommerce 6.9.5
• WooCommerce 7.0.0
• WooCommerce 7.0.0-beta.1
• WooCommerce 7.0.0-beta.2
• WooCommerce 7.0.0-beta.3
• WooCommerce 7.0.0-rc.1
• WooCommerce 7.0.0-rc.2
• WooCommerce 7.0.1
• WooCommerce 7.0.2
• WooCommerce 7.1.0
• WooCommerce 7.1.0-beta.1
• WooCommerce 7.1.0-beta.2
• WooCommerce 7.1.0-rc.1
• WooCommerce 7.1.0-rc.2
• WooCommerce 7.1.1
• WooCommerce 7.1.2
• WooCommerce 7.2.0
• WooCommerce 7.2.0-beta.1
• WooCommerce 7.2.0-beta.2
• WooCommerce 7.2.0-rc.1
• WooCommerce 7.2.0-rc.2
• WooCommerce 7.2.1
• WooCommerce 7.2.2
• WooCommerce 7.2.3
• WooCommerce 7.2.4
• WooCommerce 7.3.0
• WooCommerce 7.3.0-beta.1
• WooCommerce 7.3.0-beta.2
• WooCommerce 7.3.0-rc.1
• WooCommerce 7.3.0-rc.2
• WooCommerce 7.3.1
• WooCommerce 7.4.0
• WooCommerce 7.4.0-beta.1
• WooCommerce 7.4.0-beta.2
• WooCommerce 7.4.0-rc.1
• WooCommerce 7.4.0-rc.2
• WooCommerce 7.4.1
• WooCommerce 7.4.2
• WooCommerce 7.5.0
• WooCommerce 7.5.0-beta.1
• WooCommerce 7.5.0-beta.2
• WooCommerce 7.5.0-rc.1
• WooCommerce 7.5.1
• WooCommerce 7.5.2
• WooCommerce 7.6.0
• WooCommerce 7.6.0-beta.1
• WooCommerce 7.6.0-beta.2
• WooCommerce 7.6.0-rc.1
• WooCommerce 7.6.0-rc.2
• WooCommerce 7.6.0-rc.3
• WooCommerce 7.6.1
• WooCommerce 7.6.2
• WooCommerce 7.7.0
• WooCommerce 7.7.0-beta.1
• WooCommerce 7.7.0-beta.2
• WooCommerce 7.7.0-rc.1
• WooCommerce 7.7.1
• WooCommerce 7.7.2
• WooCommerce 7.7.3
• WooCommerce 7.8.0
• WooCommerce 7.8.0-beta.1
• WooCommerce 7.8.0-beta.2
• WooCommerce 7.8.0-rc.1
• WooCommerce 7.8.0-rc.2
• WooCommerce 7.8.1
• WooCommerce 7.8.2
• WooCommerce 7.8.3
• WooCommerce 7.8.4
• WooCommerce 7.9.0
• WooCommerce 7.9.0-beta.1
• WooCommerce 7.9.0-beta.2
• WooCommerce 7.9.0-rc.2
• WooCommerce 7.9.0-rc.3
• WooCommerce 7.9.1
• WooCommerce 7.9.2
• WooCommerce 8.0.0
• WooCommerce 8.0.0-beta.1
• WooCommerce 8.0.0-beta.2
• WooCommerce 8.0.0-rc.1
• WooCommerce 8.0.0-rc.2
• WooCommerce 8.0.1
• WooCommerce 8.0.2
• WooCommerce 8.0.3
• WooCommerce 8.0.4
• WooCommerce 8.0.5
• WooCommerce 8.1.0
• WooCommerce 8.1.0-a.3
• WooCommerce 8.1.0-a.4
• WooCommerce 8.1.0-a.5
• WooCommerce 8.1.0-beta.1
• WooCommerce 8.1.0-rc.1
• WooCommerce 8.1.0-rc.2
• WooCommerce 8.1.1
• WooCommerce 8.1.2
• WooCommerce 8.1.3
• WooCommerce 8.1.4
• WooCommerce 8.2.0
• WooCommerce 8.2.0-a.1
• WooCommerce 8.2.0-beta.1
• WooCommerce 8.2.0-rc.1
• WooCommerce 8.2.0-rc.2
• WooCommerce 8.2.1
• WooCommerce 8.2.2
• WooCommerce 8.2.3
• WooCommerce 8.2.4
• WooCommerce 8.2.5
• WooCommerce 8.3.0
• WooCommerce 8.3.0-beta.1
• WooCommerce 8.3.0-rc.1
• WooCommerce 8.3.0-rc.2
• WooCommerce 8.3.1
• WooCommerce 8.3.2
• WooCommerce 8.3.3
• WooCommerce 8.3.4
• WooCommerce 8.4.0
• WooCommerce 8.4.0-beta.1
• WooCommerce 8.4.0-rc.1
• WooCommerce 8.4.1
• WooCommerce 8.4.2
• WooCommerce 8.4.3
• WooCommerce 8.5.0
• WooCommerce 8.5.0-beta.1
• WooCommerce 8.5.0-rc.1
• WooCommerce 8.5.1
• WooCommerce 8.5.2
• WooCommerce 8.5.3
• WooCommerce 8.5.4
• WooCommerce 8.5.5
• WooCommerce 8.6.0
• WooCommerce 8.6.0-beta.1
• WooCommerce 8.6.0-rc.1
• WooCommerce 8.6.1
• WooCommerce 8.6.2
• WooCommerce 8.6.3
• WooCommerce 8.6.4
• WooCommerce 8.7.0
• WooCommerce 8.7.0-beta.1
• WooCommerce 8.7.0-beta.2
• WooCommerce 8.7.0-rc.1
• WooCommerce 8.7.1
• WooCommerce 8.7.2
• WooCommerce 8.7.3
• WooCommerce 8.8.0
• WooCommerce 8.8.0-beta.1
• WooCommerce 8.8.0-rc.1
• WooCommerce 8.8.1
• WooCommerce 8.8.2
• WooCommerce 8.8.3
• WooCommerce 8.8.4
• WooCommerce 8.8.5
• WooCommerce 8.8.6
• WooCommerce 8.8.7
• WooCommerce 8.9.0
• WooCommerce 8.9.0-beta.1
• WooCommerce 8.9.0-rc.1
• WooCommerce 8.9.1
• WooCommerce 8.9.2
• WooCommerce 8.9.3
• WooCommerce 8.9.4
• WooCommerce 8.9.5
• WooCommerce 9.0.0
• WooCommerce 9.0.0-beta.1
• WooCommerce 9.0.0-beta.2
• WooCommerce 9.0.0-rc.1
• WooCommerce 9.0.1
• WooCommerce 9.0.2
• WooCommerce 9.0.3
• WooCommerce 9.0.4
• WooCommerce 9.1.0
• WooCommerce 9.1.0-beta.1
• WooCommerce 9.1.0-rc.1
• WooCommerce 9.1.1
• WooCommerce 9.1.2
• WooCommerce 9.1.3
• WooCommerce 9.1.4
• WooCommerce 9.1.5
• WooCommerce 9.1.6
• WooCommerce 9.2.0
• WooCommerce 9.2.0-beta.1
• WooCommerce 9.2.0-rc.1
• WooCommerce 9.2.1
• WooCommerce 9.2.2
• WooCommerce 9.2.3
• WooCommerce 9.2.4
• WooCommerce 9.2.5
• WooCommerce 9.3.0
• WooCommerce 9.3.0-beta.1
• WooCommerce 9.3.0-rc.1
• WooCommerce 9.3.1
• WooCommerce 9.3.2
• WooCommerce 9.3.3
• WooCommerce 9.3.4
• WooCommerce 9.3.5
• WooCommerce 9.3.6
• WooCommerce 9.4.0
• WooCommerce 9.4.0-beta.1
• WooCommerce 9.4.0-beta.2
• WooCommerce 9.4.0-rc.1
• WooCommerce 9.4.0-rc.2
• WooCommerce 9.4.0-rc.3
• WooCommerce 9.4.0-rc.4
• WooCommerce 9.4.1
• WooCommerce 9.4.2
• WooCommerce 9.4.3
• WooCommerce 9.4.4
• WooCommerce 9.4.5
• WooCommerce 9.5.0
• WooCommerce 9.5.0-beta.1
• WooCommerce 9.5.0-beta.2
• WooCommerce 9.5.0-rc.1
• WooCommerce 9.5.1
• WooCommerce 9.5.2
• WooCommerce 9.5.3
• WooCommerce 9.5.4
• WooCommerce 9.6.0
• WooCommerce 9.6.0-beta.1
• WooCommerce 9.6.0-beta.2
• WooCommerce 9.6.0-rc.1
• WooCommerce 9.6.1
• WooCommerce 9.6.2
• WooCommerce 9.6.3
• WooCommerce 9.6.4
• WooCommerce 9.7.0
• WooCommerce 9.7.0-beta.1
• WooCommerce 9.7.0-rc.1
• WooCommerce 9.7.1
• WooCommerce 9.7.2
• WooCommerce 9.7.3
• WooCommerce 9.8.0
• WooCommerce 9.8.0-beta.1
• WooCommerce 9.8.0-rc.1
• WooCommerce 9.8.1
• WooCommerce 9.8.2
• WooCommerce 9.8.3
• WooCommerce 9.8.4
• WooCommerce 9.8.5
• WooCommerce 9.8.6
• WooCommerce 9.8.7
• WooCommerce 9.9.0
• WooCommerce 9.9.0-beta.1
• WooCommerce 9.9.0-rc.1
• WooCommerce 9.9.1
• WooCommerce 9.9.2
• WooCommerce 9.9.3
• WooCommerce 9.9.4
• WooCommerce 9.9.5
• WooCommerce 9.9.6
• WooCommerce 9.9.7
• WooCommerce trunk-snapshot