Notas de la versión de parches de seguridad de Adobe Commerce 2.4.7

Actualización de TinyMCE: el editor de WYSIWYG del administrador ahora usa la última versión de la dependencia de TinyMCE (7.3​).

• TinyMCE 7.3 ofrece una experiencia de usuario mejorada, una mejor colaboración y una mayor eficiencia. TinyMCE 5 se ha eliminado en la línea de versión 2.4.8​

• Dado que se informó de una vulnerabilidad de seguridad (CVE-2024-38357) en TinyMCE 5.10, la dependencia también se actualizó para todas las líneas de versión admitidas actualmente y se incluyó en todos los parches de seguridad de octubre de 2024:

  • 2.4.7-p3
  • 2.4.6-p8
  • 2,4,5-p10
  • 2.4.4-p11

Requerir actualización.js: Adobe Commerce ahora utiliza la última versión de Requerir.js (2.3.7).

• Dado que se notificó una vulnerabilidad de seguridad (CVE-2024-38999) en Require.js 2.3.6, la dependencia también se actualizó para todas las líneas de versión admitidas actualmente y se incluyó en todos los parches de seguridad de octubre de 2024:

  • 2.4.7-p3
  • 2.4.6-p8
  • 2,4,5-p10
  • 2.4.4-p11

Limitación de velocidad paraone-time passwords: las siguientes nuevas opciones de configuración del sistema ya están disponibles para habilitar la limitación de velocidad en la validación de two-factor authentication (2FA) one-time password (OTP):

• Límite de intentos de reintento para autenticación de doble factor
• Tiempo de bloqueo de autenticación de doble factor (segundos)

El Adobe recomienda establecer un umbral para la validación de OTP 2FA a fin de limitar el número de intentos de reintento para mitigar los ataques de fuerza bruta. Consulte Seguridad > 2FA en la Guía de referencia de configuración para obtener más información.

Rotación de clave de cifrado: ya está disponible un nuevo comando de CLI para cambiar la clave de cifrado. Consulte el artículo de la Solución de problemas con la rotación de clave de cifrado: CVE-2024-34102 Knowledge Base para obtener más información.

Corrección para CVE-2020-27511: resuelve una vulnerabilidad de seguridad de Prototype.js.

Corrección para CVE-2024-39397: resuelve una vulnerabilidad de seguridad de ejecución de código remoto. Esta vulnerabilidad afecta a los comerciantes que utilizan el servidor web Apache para implementaciones locales o autoalojadas. Esta corrección también está disponible como parche aislado. Consulte la actualización de seguridad disponible para Adobe Commerce - APSB24-61 Artículo de la base de conocimiento para obtener más información.

Revisión para resolver un error de JavaScript que impedía que Google Maps se representara correctamente en el editor PageBuilder. Consulte los parches revisados para la pérdida de acceso a Google Maps en todas las versiones de Adobe Commerce artículo de la Base de conocimiento para obtener más información.

Revisión para resolver un problema de validación de token web JSON (JWT) relacionado con CVE-2024-34102. Consulte la actualización de seguridad disponible para Adobe Commerce-APSB24-40 Artículo de la base de conocimiento para obtener más detalles.

Actualizar la configuración de contraseña de un solo uso OTP para Google Authenticator: esta actualización es necesaria para resolver un error que se introdujo mediante un cambio incompatible con versiones anteriores en 2.4.7. La descripción del campo OTP Window ahora proporciona una explicación precisa de la configuración y el valor predeterminado se ha cambiado de 1 a 29.

Compatibilidad de la versión B2B: para la compatibilidad con Commerce versión 2.4.7-p1, los comerciantes que tengan la extensión Adobe Commerce B2B deben actualizar a B2B versión 1.4.2-p1.