↑
ну waf вынужденная мера, а сито ситу рознь)
просто там регекс видимо такой
union.*select.*(@|version)
собственно да пробел перед переменной и селектором не обязателен, хм ищу альтернативу, пофиксят скоро наверно)