Te pregunto...
depronto el campo password no se encuentra encriptado? bajo que metodo? 
Si no estoy mal, oscommerce maneja md5 como metodo de encriptación de sus tablas... podrías probar esto:    
Código SQL:
Ver originalSELECT 
    O.orders_id
FROM 
    customers C 
    JOIN 
    orders O 
   ON C.customers_id = O.customers_id
WHERE 
    O.orders_id =12 
    AND 
    C.USER = 'demo' 
   AND 
    C.pasword= md5('demo1');