Sicherheits-Patch verfügbar

Händler können jetzt zeitkritische Sicherheitskorrekturen installieren, ohne die Hunderte von funktionalen Korrekturen und Verbesserungen anzuwenden, die eine vollständige vierteljährliche Version bereitstellt (z. B. 2.4.1-p1). Patch 2.4.0.12 (Composer-Paket 2.4.1-p1) ist ein Sicherheits-Patch, der Fehlerbehebungen für Sicherheitslücken bietet, die in unserer vorherigen vierteljährlichen Version 2.4.1 identifiziert wurden. Alle Hotfixes, die auf die Version 2.4.1 angewendet wurden, sind in diesem Sicherheits-Patch enthalten. (Ein Hotfix bietet eine Fehlerbehebung für eine veröffentlichte Version, die ein bestimmtes Problem oder einen Fehler behebt.)

Allgemeine Informationen zu Sicherheits-Patches finden Sie unter Einführung in die neue Sicherheits-Patch-Version. Anweisungen zum Herunterladen und Anwenden von Sicherheits-Patches (einschließlich Patch 2.4.1-p1) finden Sie Schnellstart für die lokale Installation. Sicherheits-Patches enthalten nur Sicherheitsfehlerbehebungen, nicht aber die zusätzlichen Sicherheitsverbesserungen, die im vollständigen Patch enthalten sind.

Weitere Versionsinformationen

Obwohl der Code für diese Funktionen mit vierteljährlichen Releases gebündelt ist, werden mehrere dieser Projekte (z. B. Progressiven Webs Application (PWA Studio)) ebenfalls unabhängig voneinander veröffentlicht. Fehlerbehebungen für diese Projekte werden in den separaten, projektspezifischen Versionsinformationen dokumentiert, die in der Dokumentation für jedes Projekt verfügbar sind.

Highlights

Achten Sie auf die folgenden Highlights in dieser Version.

Wesentliche Sicherheitsverbesserungen

Diese Version umfasst mehr als 35 Sicherheitskorrekturen und Verbesserungen der Plattformsicherheit. Alle Sicherheitskorrekturen wurden auf 2.4.1-p1 und 2.3.6-p1 rückportiert.

Mehr als 35 Sicherheitsverbesserungen, die die Schwachstellen bei Remote Code Execution (RCE) und Cross-Site Scripting (XSS) beheben

Bisher sind keine bestätigten Angriffe im Zusammenhang mit diesen Problemen aufgetreten. Bestimmte Schwachstellen können jedoch ausgenutzt werden, um auf Kundeninformationen zuzugreifen oder Administratorsitzungen zu übernehmen. Die meisten dieser Probleme erfordern, dass ein Angreifer zunächst Zugriff auf den Administrator erhält. Daher erinnern wir Sie daran, alle erforderlichen Schritte zu unternehmen, um Ihren Administrator zu schützen, einschließlich, aber nicht beschränkt auf diese Bemühungen: IP-Zulassungsauflistung, Zwei-Faktor-Authentifizierung, die Verwendung eines VPN, die Verwendung eines eindeutigen Standorts anstelle von /admin und gute Passworthygiene. Unter Adobe-Sicherheitsbulletin finden Sie eine Erläuterung dieser behobenen Probleme.

Zusätzliche Sicherheitsverbesserungen

Zu den Sicherheitsverbesserungen für diese Version gehören:

  • Alle Core-Cookies unterstützen jetzt das SameSite.

  • Die Anwendung zeigt jetzt Meldungen an, die potenziell schadhaften Inhalt in Produkt- und Kategoriebeschreibungsfeldern identifizieren, wenn Benutzende versuchen, Werte in diesen Feldern zu speichern.

  • Dateisystemvorgänge in allen Komponenten wurden standardisiert und gehärtet, um böswillige Uploads zu verhindern.

  • Verstöße gegen die Core Content Security Policy (CSP) wurden behoben.

NOTE
Ab Version 2.3.2 werden wir indexierte Common Vulnerabilities and Expositions (CVE)-Nummern mit jedem Sicherheitsfehler zuweisen und veröffentlichen, der uns von externen Parteien gemeldet wurde. Auf diese Weise können Benutzer nicht adressierte Schwachstellen in ihrer Bereitstellung leichter identifizieren. Weitere Informationen zu CVE-Kennungen finden Sie unter CVE.

Verbesserungen der Infrastruktur

Diese Version enthält Verbesserungen der Kernqualität, die die Qualität des Frameworks und diese Funktionsbereiche verbessern: Kundenkonto, Katalog, CMS, OMS, Import/Export, Promotions und Targeting sowie Warenkorb und Checkout.

Plattformverbesserungen

  • Elasticsearch 7.9.x wird jetzt unterstützt. Obwohl die Ausführung von Elasticsearch 7.9.x empfohlen wird, bleibt Version 2.4.x mit Elasticsearch 7.4.x kompatibel.

  • 2.4.2 wurde mit (Lack .4). Version 2.4.x bleibt kompatibel mit Lack 6.x.

  • Redis 6.x wird jetzt unterstützt. Version 2.4.x bleibt kompatibel mit Redis 5.x.

  • 2.4.2 ist jetzt mit Composer 2.x kompatibel. Es wird empfohlen, dass Händler zu Composer 2.x migrieren. Obwohl Sie diese Version mit Composer 1.x installieren können, wird Composer 1.x bald das Ende der Lebensdauer erreichen. Einen Überblick über die Funktionen von Composer 2.x finden Sie unter Composer 2.0 ist jetzt verfügbar!

Die Möglichkeit, eine Installation für die Verwendung einer geteilten Datenbank zu konfigurieren, wird in dieser Version nicht mehr unterstützt. Händler, die derzeit die Split-Datenbank verwenden, sollten mit der Planung beginnen, zu einer einzelnen Datenbank zurückzukehren oder zu ihr zu migrieren, oder einen alternativen Ansatz verwenden. Einen Überblick über dieses Problem Sie im DevBlog-BeitragEinstellung der Split-Datenbankfunktionalität in Magento Open Source". Migrationsanweisungen Sie unter „Von einer geteilten Datenbank auf eine einzelnezurücksetzen“.

Leistungsverbesserungen

Diese Version enthält Code-Verbesserungen, die die API-Leistung und die Reaktionszeit von Administratoren bei Bereitstellungen mit großen Katalogen verbessern. Dank mehrerer Erweiterungen der Skalierbarkeit unterstützt 2.4.2 nativ komplexe Kataloge, die bis zu 20-mal größer sind als in früheren Versionen.

Adobe Stock-Integration

Diese Version enthält Adobe Stock Integration v2.1.1.

GraphQL

Mit dieser Version werden die folgenden Funktionen von GraphQL abgedeckt:

  • Es wurde Unterstützung für Vergleichslisten hinzugefügt. Käufer können Vergleichslistenund löschen sowie Elemente hinzufügen und entfernen zu den Vergleichslisten hinzufügen. Darüber hinaus können sich Kunden, die eine Vergleichsliste als Gast erstellen, als Kunde anmelden und Vergleichslisten(aufbewahren).

  • Es wurde die generateCustomerTokenAsAdmin-Mutation hinzugefügt und das Customer-Objekt wurde aktualisiert, um die Unterstützung für den Remote-Einkauf zu unterstützen.

  • Es wurde Lokalisierungsunterstützung für Stores hinzugefügt, um Aufgaben wie das Ändern von Sprachen, Warenkörben und Währungen zu unterstützen.

  • Hinzugefügte Unterstützung für Gewerkschaften in GraphQL. GitHub-29425-

  • Das GraphQL-Schema wurde verbessert, um den Abruf von Produktdaten für konfigurierbare Produkte mit vielen Varianten zu optimieren.

  • Objekt-IDs vom Typ Ganzzahl werden nicht mehr unterstützt und durch uid Attribute vom Typ „ID“ ersetzt.

  • Das Attribut staging wurde der ProductInterface und der CategoryInterface hinzugefügt, um zu bestimmen, ob ein Produkt bereitgestellt wird, und um die zugehörigen Kampagneninformationen anzuzeigen.

Weitere Informationen zu diesen Verbesserungen finden Sie 🔗 GraphQL-Entwicklerhandbuch.