Aplicar AC-3022.patch para seguir ofreciendo DHL como transportista

DHL ha introducido la versión de esquema 6.2 y dejará de utilizar la versión de esquema 6.0 en un futuro próximo. Adobe Commerce 2.4.4 y las versiones anteriores compatibles con la integración de DHL solo admiten la versión 6.0. Los comerciantes que implementen estas versiones deben aplicar AC-3022.patch lo antes posible para seguir ofreciendo DHL como transportista. Consulte el artículo de la base de conocimiento Aplicar un parche para seguir ofreciendo DHL como transportista para obtener información sobre cómo descargar e instalar el parche.

Parche de seguridad disponible

Los comerciantes ahora pueden instalar correcciones de seguridad urgentes sin aplicar los cientos de correcciones y mejoras funcionales que ofrece una versión trimestral completa (por ejemplo, 2.4.0-p1). El parche 2.4.0.1 (Composer package 2.4.0-p1) es un parche de seguridad que proporciona correcciones para vulnerabilidades que se han identificado en nuestra versión trimestral anterior, 2.4.0. Todas las correcciones rápidas aplicadas a la versión 2.4.0 se incluyen en este parche de seguridad. (Una corrección rápida proporciona una corrección de una versión publicada que soluciona un problema o error específico).

Para obtener información general acerca de los parches de seguridad, consulte Presentación de la nueva versión de parches de seguridad. Para obtener instrucciones sobre cómo descargar y aplicar parches de seguridad (incluido el parche 2.3.5-p2), consulte Instalación rápida local. Los parches de seguridad solo incluyen correcciones de errores de seguridad, no las mejoras de seguridad adicionales que se incluyen en el parche completo.

Otra información de la versión

Aunque el código de estas funciones está empaquetado con versiones trimestrales , varios de estos proyectos (por ejemplo, B2B, Page Builder y Progressive Web Application (PWA) Studio) también se publican de forma independiente. Las correcciones de errores para estos proyectos se documentan en la información de versión independiente y específica del proyecto que está disponible en la documentación de cada proyecto.

Características destacadas

Busque los siguientes aspectos destacados en esta versión.

Mejoras sustanciales de seguridad

Esta versión incluye más de 15 correcciones de seguridad y mejoras de seguridad de la plataforma. Todas las correcciones de seguridad se han trasladado a 2.4.0-p1 y 2.3.6.

Más de 15 mejoras de seguridad que ayudan a cerrar las vulnerabilidades de ejecución de código remoto (RCE) y ejecución de scripts en sitios múltiples (XSS)

Hasta la fecha no se han producido ataques confirmados relacionados con estos problemas. Sin embargo, es posible que se aprovechen ciertas vulnerabilidades para acceder a la información de los clientes o hacerse cargo de las sesiones de administrador. La mayoría de estos problemas requieren que un atacante obtenga acceso primero al administrador. Como resultado, le recordamos que tome todas las medidas necesarias para proteger a su administrador, entre las que se incluyen, entre otras, las siguientes: inclusión en la lista de permitidos de IP, autenticación de doble factor, uso de una VPN, uso de una ubicación única en lugar de /admin y buena higiene de la contraseña. Consulte Actualizaciones de seguridad disponibles para el Magento para ver una discusión de estos problemas corregidos.

Mejoras de seguridad adicionales

Las mejoras de seguridad para esta versión incluyen:

  • Se ha agregado la protección CAPTCHA a las siguientes áreas de producto:

    • Página de ubicación de la tienda de pedidos y puntos finales de REST y GraphQL
    • Puntos finales de REST y GraphQL relacionados con el pago.

    La protección CAPTCHA para estas páginas adicionales está desactivada de forma predeterminada. Puede habilitarse en el administrador del mismo modo que otras páginas cubiertas por CAPTCHA. Esta protección se ha añadido como mecanismo de fuerza antibruta para proteger las tiendas contra ataques de carding. Ver CAPTCHA.

  • Compatibilidad con el atributo SameSite para las cookies. Para admitir la aplicación Chrome de Google del nuevo sistema de clasificación de cookies, se han actualizado las clases de aplicación que administran cookies para admitir el atributo de cookie SameSite. Este atributo está establecido en Lax de manera predeterminada, pero se puede anular explícitamente.

  • Herramienta de análisis de seguridad mejorada. El Adobe se ha asociado con Sanguine Security, líder en la prevención del robo digital, para integrar su base de datos de más de 8700 firmas de amenazas en el Escáner de seguridad. Esta asociación permitirá a los comerciantes obtener información en tiempo real sobre el estado de seguridad de su sitio a través de la detección proactiva de malware y la reducción de falsos positivos. Los comerciantes pueden registrarse en la herramienta visitando https://account.magento.com/scanner. Para obtener más información, consulta la publicación de blog Proteger tu tienda con la herramienta de análisis de seguridad mejorada.

NOTE
A partir de la versión 2.3.2 de, asignaremos y publicaremos números de Vulnerabilidades comunes y exposiciones (CVE) indexados con cada error de seguridad que nos comuniquen partes externas. Esto permite a los usuarios identificar con mayor facilidad las vulnerabilidades sin solucionar en su implementación. Puede obtener más información sobre los identificadores CVE en CVE.