PhotoPost PHP Pro 4.6及其之前的版本存在SQL注入漏洞。远程攻击者可以借助以下参数获取权限(1)showproduct.php的product参数,或者(2)showcat.php的cat参数。