Notes de mise à jour des correctifs de sécurité d’Adobe Commerce 2.4.6

Gestion des clés de chiffrement et rechiffrement des données - Redéfinition de la gestion des clés de chiffrement pour améliorer la convivialité et éliminer les limites et bogues existants.

De nouvelles commandes d’interface de ligne de commande sont désormais disponibles pour modifier les clés et rechiffrer certaines données de configuration du système, de paiement et de champ personnalisé. La modification des clés dans l’interface utilisateur d’administration n’est plus prise en charge dans cette version. Vous devez utiliser les commandes de l’interface de ligne de commande.

Correctif pour CVE-2025-24434 : résout une vulnérabilité d’autorisation.

Ce correctif est également disponible sous la forme d’un correctif isolé. Pour plus d’informations, consultez l’article Base de connaissances.

Mise à niveau de TinyMCE : l’éditeur WYSIWYG dans l’administration utilise désormais la dernière version de la dépendance TinyMCE (7.3​).

• TinyMCE 7.3 offre une expérience utilisateur améliorée, une meilleure collaboration et une efficacité accrue. TinyMCE 5 a été supprimé dans la version 2.4.8​

• En raison d’une vulnérabilité de sécurité (CVE-2024-38357) signalée dans TinyMCE 5.10, la dépendance a également été mise à niveau pour toutes les lignes de version actuellement prises en charge et incluse dans tous les correctifs de sécurité d’octobre 2024 :

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Mise à niveau de Require.js—Adobe Commerce utilise désormais la dernière version de Require.js (2.3.7).

• Étant donné qu’une vulnérabilité de sécurité (CVE-2024-38999) a été signalée dans Require.js 2.3.6, la dépendance a également été mise à niveau pour toutes les lignes de version actuellement prises en charge et incluse dans tous les correctifs de sécurité d’octobre 2024 :

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Limitation de débit pour lesone-time passwords : les nouvelles options de configuration système suivantes sont désormais disponibles pour activer la limitation de débit lors de la validation de two-factor authentication (2FA) one-time password (OTP) :

• Limite de tentatives pour l’authentification à deux facteurs
• Durée de verrouillage de l’authentification à deux facteurs (secondes)

Adobe recommande de définir un seuil pour la validation du mot de passe à usage unique 2FA afin de limiter le nombre de tentatives de reprise pour atténuer les attaques par force brute. Voir Sécurité > 2FA dans le Guide de référence de configuration pour plus d’informations.

Rotation de la clé de chiffrement : une nouvelle commande d’interface de ligne de commande est désormais disponible pour modifier votre clé de chiffrement. Pour plus d’informations, consultez l’article Dépannage de la rotation de la clé de chiffrement : CVE-2024-34102 de la base de connaissances .

Correctif pour CVE-2020-27511 : résout une vulnérabilité de sécurité Prototype.js.

Correctif pour CVE-2024-39397—Résout une vulnérabilité de sécurité d'exécution de code à distance. Cette vulnérabilité affecte les commerçants qui utilisent le serveur web Apache pour les déploiements sur site ou auto-hébergés. Ce correctif est également disponible sous la forme d’un correctif isolé. Consultez l’article Mise à jour de sécurité disponible pour Adobe Commerce - APSB24-61de la base de connaissances pour plus d’informations.

Correctif pour résoudre une erreur JavaScript qui empêchait le rendu correct des cartes Google dans l’éditeur PageBuilder. Pour plus d’informations, consultez l’article de la base de connaissances Correctifs révisés pour les cartes Google - Perte d’accès sur toutes les versions d’Adobe Commerce.

Correctif pour résoudre un problème de validation de jeton web JSON (JWT) lié à CVE-2024-34102. Pour plus d’informations, consultez l’article Mise à jour de sécurité disponible pour Adobe Commerce-APSB24-40de la base de connaissances .

Ajout de la prise en charge de l’intégrité des sous-ressources (SRI) pour se conformer aux exigences PCI 4.0 pour la vérification de l’intégrité des scripts sur les pages de paiement. La prise en charge de l’intégrité des sous-ressources (SRI) fournit des hachages d’intégrité pour toutes les ressources JavaScript résidant dans le système de fichiers local. La fonction SRI par défaut est implémentée uniquement sur les pages de paiement pour les zones Admin et Storefront. Cependant, les commerçants peuvent étendre la configuration par défaut à d’autres pages. Voir Intégrité des sous-ressources dans le Guide du développeur de Commerce PHP.

Modifications apportées à la politique de sécurité du contenu (CSP) : mises à jour et améliorations de la configuration des politiques de sécurité du contenu (CSP) d’Adobe Commerce pour se conformer aux exigences PCI 4.0. Pour plus de détails, consultez Politiques de sécurité du contenu dans le Guide du développeur de Commerce PHP.

• La configuration CSP par défaut pour les pages de paiement des zones Commerce Admin et Storefront est désormais en mode restrict. Pour toutes les autres pages, la configuration par défaut est le mode report-only. Dans les versions antérieures à la version 2.4.7, CSP était configuré en mode report-only pour toutes les pages.

• Ajout d’un fournisseur à usage unique pour permettre l’exécution de scripts intégrés dans une CSP. Le fournisseur de valeur à usage unique facilite la génération de chaînes à usage unique pour chaque requête. Les chaînes sont ensuite associées à l’en-tête CSP.

• Ajout d’options permettant de configurer des URI personnalisés pour signaler des violations de CSP pour la page Créer une commande dans l’administration et la page Passage en caisse dans le storefront. Vous pouvez ajouter la configuration à partir de l’administration ou en ajoutant l’URI au fichier config.xml.

  note note
  NOTE
  La mise à jour de la configuration du CSP en mode restrict peut bloquer les scripts intégrés existants sur les pages de paiement dans Admin et Storefront, ce qui entraîne l’erreur de navigateur suivante lorsqu’une page se charge : Refused to execute inline script because it violates the following Content Security Policy directive: "script-src. Corrigez ces erreurs en mettant à jour la configuration de la liste autorisée pour autoriser les scripts requis. Voir Dépannage dans le Guide du développeur de Commerce PHP.

Modification du comportement des clés de cache non générées :

• Les clés de cache non générées pour les blocs incluent désormais des préfixes qui diffèrent des préfixes des clés générées automatiquement. (Les clés de cache non générées sont des clés définies par le biais de la syntaxe de la directive du modèle ou des méthodes setCacheKey ou setData.)
• Les clés de cache non générées pour les blocs ne doivent désormais contenir que des lettres, des chiffres, des tirets (-) et des traits de soulignement (_).

Limitations du nombre de codes de coupon générés automatiquement. Commerce limite désormais le nombre de codes coupon générés automatiquement. La valeur maximale par défaut est de 250 000. Les commerçants peuvent utiliser la nouvelle option de configuration des Code Quantity Limit (Stores > Settings:Configuration > Customers > Promotions) pour contrôler cette nouvelle limite.

Prise en charge du cache de vernis 7.3. Cette version est compatible avec la dernière version de Varnish Cache 7.3. La compatibilité reste avec les versions 6.0.x et 7.2.x, mais Adobe recommande d’utiliser Adobe Commerce 2.4.6-p1 uniquement avec Varnish Cache version 7.3 ou version 6.0 LTS.

Prise en charge de RabbitMQ 3.11. Cette version est compatible avec la dernière version de RabbitMQ 3.11. La compatibilité reste avec RabbitMQ 3.9, pris en charge jusqu’en août 2023, mais Adobe a recommandé d’utiliser Adobe Commerce 2.4.6-p1 uniquement avec RabbitMQ 3.11.

Bibliothèques JavaScript. Les bibliothèques JavaScript obsolètes ont été mises à niveau vers les dernières versions mineures ou correctives, y compris la bibliothèque moment.js (v2.29.4), la bibliothèque jQuery UI (v1.13.2) et la bibliothèque de modules externes de validation jQuery (v1.19.5).

Le fichier nginx.sample a été mis à jour par inadvertance avec une modification qui modifie la valeur de fastcgi_pass de fastcgi_backend en php-fpm:9000. Cette modification peut être annulée ou ignorée en toute sécurité.

Les dépendances manquantes pour le package de sécurité B2B provoquent l’erreur d’installation suivante lors de l’installation ou de la mise à niveau de l’extension B2B vers la version 1.4.0.

Your requirements could not be resolved to an installable set of packages.

  Problem 1
    - Root composer.json requires magento/extension-b2b 1.4.0 -> satisfiable by magento/extension-b2b[1.4.0].
    - magento/extension-b2b 1.4.0 requires magento/security-package-b2b 1.0.4-beta1 -> found magento/security-package-b2b[1.0.4-beta1] but it does not match your minimum-stability.

Installation failed, reverting ./composer.json and ./composer.lock to their original content.

Ce problème peut être résolu en ajoutant des dépendances manuelles pour le package de sécurité B2B avec une balise de stabilité. Pour plus d’informations, consultez les notes de mise à jour de B2B.