Note sulla versione per le patch di sicurezza di Adobe Commerce 2.4.6

Aggiornamento TinyMCE. L'editor WYSIWYG nell'amministratore utilizza ora la versione più recente della dipendenza TinyMCE (7.3​).

• TinyMCE 7.3 offre un'esperienza utente migliorata, una migliore collaborazione e una maggiore efficienza. TinyMCE 5 è stato rimosso nella versione 2.4.8​.

• Poiché è stata segnalata una vulnerabilità di sicurezza (CVE-2024-38357) in TinyMCE 5.10, la dipendenza è stata aggiornata anche per tutte le linee di rilascio attualmente supportate e inclusa in tutte le patch di sicurezza di ottobre 2024:

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Aggiornamento Require.js - Adobe Commerce utilizza ora la versione più recente di Require.js (2.3.7).

• Poiché è stata segnalata una vulnerabilità di sicurezza (CVE-2024-38999) in Require.js 2.3.6, la dipendenza è stata aggiornata anche per tutte le linee di rilascio attualmente supportate e inclusa in tutte le patch di sicurezza di ottobre 2024:

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Limitazione della frequenza perone-time passwords. Le seguenti nuove opzioni di configurazione del sistema sono ora disponibili per abilitare la limitazione della frequenza nella convalida di two-factor authentication (2FA) one-time password (OTP):

• Limite tentativi per autenticazione a due fattori
• Tempo di blocco per autenticazione a due fattori (secondi)

L’Adobe consiglia di impostare una soglia per la convalida OTP 2FA per limitare il numero di tentativi di mitigare gli attacchi di forza bruta. Per ulteriori informazioni, vedere Sicurezza > 2FA nella Guida di riferimento alla configurazione.

Rotazione chiave di crittografia: è ora disponibile un nuovo comando CLI per la modifica della chiave di crittografia. Per ulteriori informazioni, vedere l'articolo della Knowledge Base relativo alla risoluzione dei problemi relativi alla rotazione delle chiavi di crittografia: CVE-2024-34102🔗.

Correzione per CVE-2020-27511—Risolve una vulnerabilità di sicurezza Prototype.js.

Correzione per CVE-2024-39397—Risolve una vulnerabilità di sicurezza dell'esecuzione di codice remoto. Questa vulnerabilità influisce sui commercianti che utilizzano il server web Apache per distribuzioni locali o con hosting autonomo. Questa correzione è disponibile anche come patch isolata. Per ulteriori informazioni, vedere l'articolo della Knowledge Base Security update available for Adobe Commerce - APSB24-61.

Hotfix per risolvere un errore di JavaScript che impediva il corretto rendering di Google Maps nell'editor PageBuilder. Per ulteriori informazioni, vedere l'articolo della Knowledge Base Patch riviste per la perdita dell'accesso a Google Maps in tutte le versioni di Adobe Commerce.

Hotfix per risolvere un problema di convalida del token web JSON (JWT) relativo a CVE-2024-34102. Per ulteriori informazioni, vedere l'articolo della Knowledge Base di Sicurezza disponibile per Adobe Commerce-APSB24-40.

È stato aggiunto il supporto per l'integrità della sottorisorsa (SRI) per soddisfare i requisiti PCI 4.0 per la verifica dell'integrità dello script nelle pagine di pagamento. Il supporto per l’integrità della sottorisorsa (SRI) fornisce hash di integrità per tutte le risorse JavaScript che risiedono nel file system locale. La funzione SRI predefinita viene implementata solo nelle pagine di pagamento per le aree amministratore e vetrina. Tuttavia, i commercianti possono estendere la configurazione predefinita ad altre pagine. Consulta Integrità della sottorisorsa nella Guida per gli sviluppatori di Commerce PHP.

Modifiche alle direttive Content Security Policy (CSP)—Aggiornamenti alla configurazione e miglioramenti alle direttive Adobe Commerce Content Security Policy (CSP) per la conformità ai requisiti PCI 4.0. Per informazioni dettagliate, vedere Informativa sulla sicurezza dei contenuti nella Guida per gli sviluppatori di Commerce PHP.

• La configurazione CSP predefinita per le pagine di pagamento per le aree di amministrazione e vetrina di Commerce è ora in modalità restrict. Per tutte le altre pagine, la configurazione predefinita è la modalità report-only. Nelle versioni precedenti alla versione 2.4.7, CSP era configurato in modalità report-only per tutte le pagine.

• È stato aggiunto un provider nonce per consentire l’esecuzione di script in linea in un CSP. Il provider di nonce facilita la generazione di stringhe di nonce univoche per ogni richiesta. Le stringhe vengono quindi collegate all’intestazione CSP.

• Sono state aggiunte opzioni per configurare URI personalizzati in modo da segnalare le violazioni CSP per le pagine Crea ordine in Amministrazione e Pagamento nella vetrina. È possibile aggiungere la configurazione dall'amministratore o aggiungendo l'URI al file config.xml.

  note note
  NOTE
  L'aggiornamento della configurazione CSP alla modalità restrict potrebbe bloccare gli script in linea esistenti nelle pagine di pagamento in Admin e storefront, causando il seguente errore del browser al caricamento di una pagina: Refused to execute inline script because it violates the following Content Security Policy directive: "script-src. Correggi questi errori aggiornando la configurazione della whitelist per consentire gli script richiesti. Consulta Risoluzione dei problemi nella Guida per gli sviluppatori di Commerce PHP.

Modifiche al comportamento delle chiavi della cache non generate:

• Le chiavi della cache non generate per i blocchi ora includono prefissi che differiscono dai prefissi per le chiavi generate automaticamente. Le chiavi della cache non generate sono chiavi impostate tramite la sintassi di direttiva del modello o i metodi setCacheKey o setData.
• Le chiavi della cache non generate per i blocchi ora devono contenere solo lettere, cifre, trattini (-) e caratteri di sottolineatura (_).

Limitazioni al numero di codici coupon generati automaticamente. Commerce ora limita il numero di codici coupon generati automaticamente. Il valore massimo predefinito è 250.000. I commercianti possono utilizzare la nuova opzione di configurazione Code Quantity Limit (Stores > Settings:Configuration > Customers > Promotions) per controllare questo nuovo limite.

Supporto cache di vernice 7.3. Questa versione è compatibile con la versione più recente di Varnish Cache 7.3. La compatibilità rimane con le versioni 6.0.x e 7.2.x, ma l'Adobe consigliato utilizzando Adobe Commerce 2.4.6-p1 solo con Vernice Cache versione 7.3 o 6.0 LTS.

Supporto di RabbitMQ 3.11. Questa versione è compatibile con l’ultima versione di RabbitMQ 3.11. La compatibilità rimane con RabbitMQ 3.9, che è supportato fino ad agosto 2023, ma l’Adobe consigliato è l’utilizzo di Adobe Commerce 2.4.6-p1 solo con RabbitMQ 3.11.

Librerie JavaScript. Le librerie JavaScript obsolete sono state aggiornate alle versioni secondarie o patch più recenti, tra cui la libreria moment.js (v2.29.4), la libreria jQuery UI (v1.13.2) e la libreria del plug-in di convalida jQuery (v1.19.5).

Il file nginx.sample è stato inavvertitamente aggiornato con una modifica che modifica il valore di fastcgi_pass da fastcgi_backend a php-fpm:9000. Questa modifica può essere ripristinata o ignorata senza problemi.

Le dipendenze mancanti per il pacchetto di sicurezza B2B causano il seguente errore di installazione durante l’installazione o l’aggiornamento dell’estensione B2B alla versione 1.4.0.

Your requirements could not be resolved to an installable set of packages.

  Problem 1
    - Root composer.json requires magento/extension-b2b 1.4.0 -> satisfiable by magento/extension-b2b[1.4.0].
    - magento/extension-b2b 1.4.0 requires magento/security-package-b2b 1.0.4-beta1 -> found magento/security-package-b2b[1.0.4-beta1] but it does not match your minimum-stability.

Installation failed, reverting ./composer.json and ./composer.lock to their original content.

Questo problema può essere risolto aggiungendo dipendenze manuali per il pacchetto di sicurezza B2B con un tag di stabilità. Per informazioni dettagliate, consulta le note sulla versione B2B.