Adobe Commerce 2.4.7 セキュリティパッチのリリースノート

MariaDB サポート - MariaDB 10.11 のサポートを追加しました。

API パフォーマンスの強化 – 以前のセキュリティパッチの後に導入された一括非同期 web API エンドポイントのパフォーマンス低下を解決します。

CMS ブロックのアクセス修正 – 権限が制限された管理者ユーザー（マーチャンダイジングのみのアクセスなど）が CMS Blocks リストページを表示できない問題を解決します。

以前は、以前のセキュリティパッチをインストールした後に設定パラメーターが見つからないために、これらのユーザーにエラーが発生していました。

Cookie 制限互換性 - フレームワーク内の MAX_NUM_COOKIES 定数に関する後方互換性のない変更を解決します。 この更新により、期待される動作が復元され、cookie の制限とやり取りする拡張機能やカスタマイズの互換性が確保されます。

非同期操作 – 以前の顧客の注文を上書きするための制限付きの非同期操作。

暗号化キーの管理とデータの再暗号化：操作性を向上させ、以前の制限やバグを排除するために設計し直された暗号化キーの管理

新しい CLI コマンドが、キーと 再暗号化、特定のシステム構成、支払い 🔗 カスタムフィールドのデータに対して 変更」、「」で使用できるようになりました。 管理 UI でのキーの変更は、このリリースではサポートされなくなりました。 CLI コマンドを使用する必要があります。

CVE-2025-24434🔗 の修正 認証の脆弱性を解決します。

この修正は、独立したパッチとしても使用できます。 詳しくは、 ナレッジベースの記事を参照してください。

TinyMCE のアップグレード - Admin の WYSIWYG Editor は、最新バージョンの TinyMCE 依存関係（7.3​）を使用するようになりました。

• TinyMCE 7.3 は、ユーザーエクスペリエンスの向上、コラボレーションの強化、効率の向上を実現します。 TinyMCE 5 は 2.4.8 リリース行で削除されました​

• TinyMCE 5.10 で報告されているセキュリティの脆弱性（CVE-2024-38357）があるため、依存関係も、現在サポートされているすべてのリリースラインでアップグレードされ、2024 年 10 月のすべてのセキュリティパッチに含まれていました。

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Require.js のアップグレード - Adobe Commerceで最新バージョンの Require.js （2.3.7）が使用されるようになりました。

• Require.js 2.3.6 でセキュリティの脆弱性（CVE-2024-38999）が報告されていたので、依存関係も、現在サポートされているすべてのリリースラインでアップグレードされ、2024 年 10 月のすべてのセキュリティパッチに含まれていました。

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

one-time passwords のレート制限：two-factor authentication (2FA) one-time password (OTP) の検証でレート制限を有効にするために、次の新しいシステム構成オプションが利用可能になりました。

• 二要素認証の再試行制限
• 二要素認証ロックアウト時間（秒）

Adobeでは、ブルートフォース攻撃を軽減するための再試行回数を制限するために、2FA OTP 検証のしきい値を設定することをお勧めします。 詳しくは、『 設定リファレンスガイド の セキュリティ/2FA を参照してください。

暗号化キーのローテーション：新しい CLI コマンドを使用して暗号化キーを変更できるようになりました。 詳しくは、 暗号化キーのローテーションのトラブルシューティング：CVE-2024-34102 ナレッジベースの記事を参照してください。

CVE-2020-27511 の修正 – Prototype.js セキュリティの脆弱性を解決します。

CVE-2024-39397🔗 の修正 リモートコード実行セキュリティの脆弱性を解決します。 この脆弱性は、オンプレミスまたはセルフホスト型のデプロイメントに Apache web サーバーを使用しているマーチャントに影響します。 この修正は、独立したパッチとしても使用できます。 詳しくは、Adobe Commerceで利用可能なセキュリティ更新 – APSB24-61 ナレッジベースの記事を参照してください。

Google マップが PageBuilder エディターで正しくレンダリングされないJavaScript エラーを解決するためのホットフィックス。 詳しくは、Google マップの改訂版パッチのすべてのAdobe Commerce バージョンのアクセス損失ナレッジベース記事を参照してください。

CVE-2024-34102 に関連する JSON web トークン（JWT）検証の問題を解決するためのホットフィックス。 詳しくは、ナレッジベースの記事 Adobe Commerce-APSB24-40 用のセキュリティアップデートを参照してください。

Google Authenticator の ワンタイムパスワード （OTP）設定の更新– この更新は、 後方互換性のない変更2.4.7 で発生したエラーを解決するために必要です。OTP Window フィールドの説明で設定の正確な説明が提供されるようになり、デフォルト値は 1 から 29 に変更されました。

B2B バージョンの互換性 - Commerce バージョン 2.4.7-p1 との互換性を確保するには、Adobe Commerce B2B 拡張機能を持つマーチャントが、B2B バージョン 1.4.2-p1 にアップグレードする必要があります。