Notes de mise à jour des correctifs de sécurité d’Adobe Commerce 2.4.7

Mise à niveau TinyMCE : l’ éditeur WYSIWYG de l’administrateur utilise désormais la dernière version de la dépendance TinyMCE (7.3 ​).

• TinyMCE 7.3 offre une expérience utilisateur améliorée, une meilleure collaboration et une efficacité accrue. TinyMCE 5 a été supprimé dans la ligne de mise à jour 2.4.8. ​

• Comme une vulnérabilité de sécurité (CVE-2024-38357) a été signalée dans TinyMCE 5.10, la dépendance a également été mise à niveau pour toutes les lignes de version actuellement prises en charge et incluse dans tous les correctifs de sécurité d’octobre 2024 :

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Mise à niveau de Require.js : Adobe Commerce utilise désormais la dernière version de Require.js (2.3.7).

• Comme une vulnérabilité de sécurité (CVE-2024-38999) a été signalée dans Require.js 2.3.6, la dépendance a également été mise à niveau pour toutes les lignes de version actuellement prises en charge et incluse dans tous les correctifs de sécurité d’octobre 2024 :

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Limitation de débit pourone-time passwords : les nouvelles options de configuration système suivantes sont désormais disponibles pour activer la limitation de débit sur la validation two-factor authentication (2FA) one-time password (OTP) :

• Limite des tentatives de reprise pour l’authentification à deux facteurs
• Délai d’expiration de l’authentification à deux facteurs (secondes)

Adobe conseille de définir un seuil pour la validation OTP 2FA afin de limiter le nombre de tentatives pour atténuer les attaques par force brute. Voir Sécurité > 2FA dans le Guide de référence de configuration pour plus d’informations.

Rotation de la clé de chiffrement : une nouvelle commande d’interface de ligne de commande est désormais disponible pour modifier votre clé de chiffrement. Pour plus d’informations, reportez-vous à l’article Résolution des problèmes de rotation de la clé de chiffrement : CVE-2024-34102 de la base de connaissances.

Correctif pour CVE-2020-27511—Résout une vulnérabilité de sécurité Prototype.js.

Correctif pour CVE-2024-39397 : résout une vulnérabilité de sécurité d’exécution de code distant. Cette vulnérabilité affecte les marchands utilisant le serveur web Apache pour les déploiements sur site ou auto-hébergés. Ce correctif est également disponible en tant que correctif isolé. Pour plus d'informations, consultez l'article Mise à jour de sécurité disponible pour Adobe Commerce - APSB24-61 de la base de connaissances.

Correctif pour résoudre une erreur JavaScript qui empêchait le rendu correct des cartes Google dans l’éditeur PageBuilder. Pour plus d’informations, reportez-vous à l’article Correctifs modifiés des pertes d’accès aux cartes Google sur toutes les versions d’Adobe Commerce de la base de connaissances.

Correctif pour résoudre un problème de validation du jeton web JSON (JWT) lié à CVE-2024-34102. Pour plus d’informations, reportez-vous à l’article Mise à jour de sécurité disponible pour Adobe Commerce-APSB24-40 de la base de connaissances.

Mise à jour des paramètres de mot de passe unique (OTP) pour l’authentificateur Google - Cette mise à jour est nécessaire pour résoudre une erreur qui a été introduite par une modification rétrocompatible dans la version 2.4.7. La description du champ OTP Window fournit désormais une explication exacte du paramètre et la valeur par défaut a été changée de 1 à 29.

Compatibilité de version B2B : pour la compatibilité avec Commerce version 2.4.7-p1, les marchands qui ont l’extension Adobe Commerce B2B doivent effectuer la mise à niveau vers B2B version 1.4.2-p1.