Make WordPress Core

Ticket #30064: 30064_gowp1-2.diff

File 30064_gowp1-2.diff, 981 bytes (added by jipmoors, 10 years ago)

esc_sql applied to include parameter (and fixed tabbing)

  • wp-includes/user.php

     
    618618                                ";
    619619                                $orderby = 'post_count';
    620620                        } elseif ( 'ID' == $qv['orderby'] || 'id' == $qv['orderby'] ) {
    621                                 $orderby = 'ID';
    622                         } elseif ( 'meta_value' == $qv['orderby'] ) {
    623                                 $orderby = "$wpdb->usermeta.meta_value";
    624                         } else {
    625                                 $orderby = 'user_login';
    626                         }
     621                $orderby = 'ID';
     622            } elseif ( 'meta_value' == $qv['orderby'] ) {
     623                $orderby = "$wpdb->usermeta.meta_value";
     624            } elseif ( 'include' == $qv['orderby'] && ! empty( $qv['include'] ) ) {
     625                                $include = esc_sql($qv['include']);
     626                                $include = implode( ",", $include );
     627                $orderby = "FIELD( {$wpdb->users}.ID, {$include} )";
     628            } else {
     629                $orderby = 'user_login';
     630            }
    627631                }
    628632
    629633                if ( empty( $orderby ) )