Fancy Product Designer 插件在 特定版本中存在 SQL 注入漏洞，原因是未对用户提供的参数进行充分转义和验证，同时缺乏对 SQL 查询的严格准备。这使得未经身份验证的攻击者能够通过注入恶意 SQL 代码来操纵数据库查询，从而提取敏感信息，如用户数据、配置信息等。

参数使用预编译形式用以对sql注入防护，同时限制接口参数输入。