Notes de mise à jour des correctifs de sécurité d’Adobe Commerce 2.4.7

Gestion des clés de chiffrement et rechiffrement des données - Redéfinition de la gestion des clés de chiffrement pour améliorer la convivialité et éliminer les limites et bogues existants.

De nouvelles commandes d’interface de ligne de commande sont désormais disponibles pour modifier les clés et rechiffrer certaines données de configuration du système, de paiement et de champ personnalisé. La modification des clés dans l’interface utilisateur d’administration n’est plus prise en charge dans cette version. Vous devez utiliser les commandes de l’interface de ligne de commande.

Correctif pour CVE-2025-24434 : résout une vulnérabilité d’autorisation.

Ce correctif est également disponible sous la forme d’un correctif isolé. Pour plus d’informations, consultez l’article Base de connaissances.

Mise à niveau de TinyMCE : l’éditeur WYSIWYG dans l’administration utilise désormais la dernière version de la dépendance TinyMCE (7.3​).

• TinyMCE 7.3 offre une expérience utilisateur améliorée, une meilleure collaboration et une efficacité accrue. TinyMCE 5 a été supprimé dans la version 2.4.8​

• En raison d’une vulnérabilité de sécurité (CVE-2024-38357) signalée dans TinyMCE 5.10, la dépendance a également été mise à niveau pour toutes les lignes de version actuellement prises en charge et incluse dans tous les correctifs de sécurité d’octobre 2024 :

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Mise à niveau de Require.js—Adobe Commerce utilise désormais la dernière version de Require.js (2.3.7).

• Étant donné qu’une vulnérabilité de sécurité (CVE-2024-38999) a été signalée dans Require.js 2.3.6, la dépendance a également été mise à niveau pour toutes les lignes de version actuellement prises en charge et incluse dans tous les correctifs de sécurité d’octobre 2024 :

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Limitation de débit pour lesone-time passwords : les nouvelles options de configuration système suivantes sont désormais disponibles pour activer la limitation de débit lors de la validation de two-factor authentication (2FA) one-time password (OTP) :

• Limite de tentatives pour l’authentification à deux facteurs
• Durée de verrouillage de l’authentification à deux facteurs (secondes)

Adobe recommande de définir un seuil pour la validation du mot de passe à usage unique 2FA afin de limiter le nombre de tentatives de reprise pour atténuer les attaques par force brute. Voir Sécurité > 2FA dans le Guide de référence de configuration pour plus d’informations.

Rotation de la clé de chiffrement : une nouvelle commande d’interface de ligne de commande est désormais disponible pour modifier votre clé de chiffrement. Pour plus d’informations, consultez l’article Dépannage de la rotation de la clé de chiffrement : CVE-2024-34102 de la base de connaissances .

Correctif pour CVE-2020-27511 : résout une vulnérabilité de sécurité Prototype.js.

Correctif pour CVE-2024-39397—Résout une vulnérabilité de sécurité d'exécution de code à distance. Cette vulnérabilité affecte les commerçants qui utilisent le serveur web Apache pour les déploiements sur site ou auto-hébergés. Ce correctif est également disponible sous la forme d’un correctif isolé. Consultez l’article Mise à jour de sécurité disponible pour Adobe Commerce - APSB24-61de la base de connaissances pour plus d’informations.

Correctif pour résoudre une erreur JavaScript qui empêchait le rendu correct des cartes Google dans l’éditeur PageBuilder. Pour plus d’informations, consultez l’article de la base de connaissances Correctifs révisés pour les cartes Google - Perte d’accès sur toutes les versions d’Adobe Commerce.

Correctif pour résoudre un problème de validation de jeton web JSON (JWT) lié à CVE-2024-34102. Pour plus d’informations, consultez l’article Mise à jour de sécurité disponible pour Adobe Commerce-APSB24-40de la base de connaissances .

Mise à jour paramètres de mot de passe à usage unique (OTP) pour l’authentificateur Google-Cette mise à jour est nécessaire pour résoudre une erreur introduite par une modification rétrocompatible dans la version 2.4.7. La description du champ OTP Window fournit désormais une explication précise du paramètre et la valeur par défaut a été modifiée de 1 en 29.

Compatibilité des versions B2B : pour des raisons de compatibilité avec la version 2.4.7-p1 de Commerce, les commerçants qui disposent de l’extension Adobe Commerce B2B doivent effectuer la mise à niveau vers la version 1.4.2-p1 de B2B.