Adobe Commerce 2.4.7 セキュリティパッチのリリースノート

TinyMCE のアップグレード - Admin の WYSIWYG Editor は、最新バージョンの TinyMCE 依存関係（7.3​）を使用するようになりました。

• TinyMCE 7.3 は、ユーザーエクスペリエンスの向上、コラボレーションの強化、効率の向上を実現します。 TinyMCE 5 は 2.4.8 リリース行で削除されました​

• TinyMCE 5.10 で報告されているセキュリティの脆弱性（CVE-2024-38357）があるため、依存関係も、現在サポートされているすべてのリリースラインでアップグレードされ、2024 年 10 月のすべてのセキュリティパッチに含まれていました。

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Require.js のアップグレード - Adobe Commerceで最新バージョンの Require.js （2.3.7）が使用されるようになりました。

• Require.js 2.3.6 でセキュリティの脆弱性（CVE-2024-38999）が報告されていたので、依存関係も、現在サポートされているすべてのリリースラインでアップグレードされ、2024 年 10 月のすべてのセキュリティパッチに含まれていました。

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

one-time passwords のレート制限：two-factor authentication (2FA) one-time password (OTP) の検証でレート制限を有効にするために、次の新しいシステム構成オプションが利用可能になりました。

• 二要素認証の再試行制限
• 二要素認証ロックアウト時間（秒）

Adobeでは、ブルートフォース攻撃を軽減するための再試行回数を制限するために、2FA OTP 検証のしきい値を設定することをお勧めします。 詳しくは、『 設定リファレンスガイド の セキュリティ/2FA を参照してください。

暗号化キーのローテーション：新しい CLI コマンドを使用して暗号化キーを変更できるようになりました。 詳しくは、 暗号化キーのローテーションのトラブルシューティング：CVE-2024-34102 ナレッジベースの記事を参照してください。

CVE-2020-27511 の修正 – Prototype.js セキュリティの脆弱性を解決します。

CVE-2024-39397🔗 の修正 リモートコード実行セキュリティの脆弱性を解決します。 この脆弱性は、オンプレミスまたはセルフホスト型のデプロイメントに Apache web サーバーを使用しているマーチャントに影響します。 この修正は、独立したパッチとしても使用できます。 詳しくは、Adobe Commerceで利用可能なセキュリティ更新 – APSB24-61 ナレッジベースの記事を参照してください。

Google マップが PageBuilder エディターで正しくレンダリングされないJavaScript エラーを解決するためのホットフィックス。 詳しくは、Google マップの改訂版パッチのすべてのAdobe Commerce バージョンのアクセス損失ナレッジベース記事を参照してください。

CVE-2024-34102 に関連する JSON web トークン（JWT）検証の問題を解決するためのホットフィックス。 詳しくは、ナレッジベースの記事 Adobe Commerce-APSB24-40 用のセキュリティアップデートを参照してください。

Google Authenticator の ワンタイムパスワード （OTP）設定の更新– この更新は、 後方互換性のない変更2.4.7 で発生したエラーを解決するために必要です。OTP Window フィールドの説明で設定の正確な説明が提供されるようになり、デフォルト値は 1 から 29 に変更されました。

B2B バージョンの互換性 - Commerce バージョン 2.4.7-p1 との互換性を確保するには、Adobe Commerce B2B 拡張機能を持つマーチャントが、B2B バージョン 1.4.2-p1 にアップグレードする必要があります。