Patch de segurança disponível

Os comerciantes agora podem instalar correções de segurança com prazo confidencial sem aplicar as centenas de correções e aprimoramentos funcionais que uma versão trimestral completa oferece (por exemplo, 2.4.1-p1). O Patch 2.4.0.12 (Pacote do Composer 2.4.1-p1) é um patch de segurança que fornece correções para vulnerabilidades identificadas na versão anterior trimestral, 2.4.1. Todos os hot fixes aplicados à versão 2.4.1 estão incluídos neste patch de segurança. (Um hot fix fornece uma correção para uma versão lançada que aborda um problema ou erro específico.)

Para obter informações gerais sobre patches de segurança, consulte Introdução à Nova Versão do Patch de Segurança. Para obter instruções sobre como baixar e aplicar patches de segurança (incluindo o patch 2.4.1-p1), consulte Instalação rápida no local. Os patches de segurança incluem apenas correções de bugs de segurança, não as melhorias de segurança adicionais incluídas no patch completo.

Outras informações sobre a versão

Embora o código para esses recursos esteja incluído nas versões trimestrais , vários desses projetos (por exemplo, Progressive Web Application (PWA) Studio) também são lançados independentemente. As correções de erros para esses projetos estão documentadas nas informações de versão separadas e específicas do projeto, disponíveis na documentação de cada projeto.

Destaques

Procure os seguintes destaques nesta versão.

Aprimoramentos substanciais de segurança

Esta versão inclui mais de 35 correções de segurança e melhorias na segurança da plataforma. Todas as correções de segurança tiveram backport para 2.4.1-p1 e 2.3.6-p1.

Mais de 35 aprimoramentos de segurança que ajudam a fechar as vulnerabilidades de execução remota de código (RCE) e criação de script entre sites (XSS)

Nenhum ataque confirmado relacionado a esses problemas ocorreu até o momento. No entanto, certas vulnerabilidades podem ser potencialmente exploradas para acessar informações do cliente ou assumir o controle de sessões de administrador. A maioria desses problemas exige que um invasor obtenha acesso ao Administrador primeiro. Como resultado, lembramos você de tomar todas as medidas necessárias para proteger seu Administrador, incluindo, mas não limitado a, esses esforços: incluir na lista de permissões de IP, autenticação de dois fatores, uso de uma VPN, uso de um local exclusivo em vez de /admin e boa higiene de senha. Consulte o Boletim de Segurança de Adobe para ver uma discussão sobre esses problemas corrigidos.

Aprimoramentos adicionais de segurança

Os aprimoramentos de segurança para esta versão incluem:

  • Todos os cookies principais agora oferecem suporte ao atributo SameSite.

  • O aplicativo agora exibe mensagens que identificam conteúdo potencialmente mal-intencionado nos campos de descrição do produto e da categoria quando o usuário tenta salvar valores nesses campos.

  • As operações do sistema de arquivos nos componentes foram padronizadas e fortalecidas para evitar uploads mal-intencionados.

  • As violações da Política de Segurança de Conteúdo (CSP) principal foram corrigidas.

NOTE
A partir da versão 2.3.2, atribuiremos e publicaremos números indexados de vulnerabilidades e exposições comuns (CVE) com cada erro de segurança relatado a nós por terceiros. Isso permite que os usuários identifiquem mais facilmente vulnerabilidades não solucionadas na implantação. Você pode saber mais sobre os identificadores CVE em CVE.

Melhorias na infraestrutura

Esta versão inclui aprimoramentos na qualidade principal, que melhoram a qualidade da Estrutura e estas áreas funcionais: Conta do cliente, Catálogo, CMS, OMS, Importação/Exportação, Promoções e Direcionamento e Carrinho e Check-out.

Aprimoramentos na plataforma

  • Agora há suporte para Elasticsearch 7.9.x. Embora seja recomendável executar o Elasticsearch 7.9.x, a versão 2.4.x permanece compatível com o Elasticsearch 7.4.x.

  • A versão 2.4.2 foi testada com Verniz 6.4. A versão 2.4.x permanece compatível com o Varnish 6.x.

  • Agora há suporte para o Redis 6.x. A versão 2.4.x permanece compatível com o Redis 5.x.

  • A versão 2.4.2 agora é compatível com o Composer 2.x. Recomendamos que os comerciantes migrem para o Composer 2.x. Embora você possa instalar esta versão usando o Composer 1.x, o Composer 1.x logo chegará ao fim da vida útil. Para obter uma visão geral dos recursos do Composer 2.x, consulte O Composer 2.0 já está disponível!

A capacidade de configurar uma instalação para usar um banco de dados dividido foi descontinuada nesta versão. Os comerciantes que atualmente usam o banco de dados dividido devem começar a planejar a reversão para um único banco de dados ou a migração para um único banco de dados ou usar uma abordagem alternativa. Consulte a publicação Deprecation of split database no Magento Open Source DevBlog para obter uma visão geral desse problema. Consulte Reverter de um banco de dados dividido para um único banco de dados para obter instruções de migração.

Aprimoramentos de desempenho

Esta versão inclui aprimoramentos de código que aumentam o desempenho da API e o tempo de resposta do administrador para implantações com catálogos grandes. Várias melhorias de escalabilidade permitem que a versão 2.4.2 ofereça suporte nativo a catálogos complexos até 20 vezes maior do que nas versões anteriores.

Integração do Adobe Stock

Esta versão inclui a Integração do Adobe Stock v2.1.1.

GraphQL

Esta versão inclui a cobertura da GraphQL para os seguintes recursos:

  • Adicionado suporte para listas de comparação. Os compradores podem criar e excluir listas de comparação e adicionar e remover itens para as listas de comparação. Além disso, os compradores que criam uma lista de comparação como convidado podem fazer logon como cliente e manter suas listas de comparação.

  • Adicionada a mutação generateCustomerTokenAsAdmin e atualizado o objeto Customer para oferecer suporte à assistência à compra remota.

  • Adição de suporte à localização nas lojas para suportar tarefas como alteração de idiomas, carrinhos e moedas.

  • Suporte adicionado para uniões na GraphQL. GitHub-29425

  • O esquema do GraphQL foi aprimorado para otimizar a recuperação de dados de produtos para produtos configuráveis com muitas variantes.

  • As IDs de objeto de tipo inteiro foram substituídas em favor de uid atributos de ID de tipo.

  • Adição do atributo staging ao ProductInterface e CategoryInterface para determinar se um produto é preparado e exibir suas informações de campanha associadas.

Consulte o Guia do Desenvolvedor do GraphQL para obter detalhes sobre esses aprimoramentos.