Notas de versão de patches de segurança do Adobe Commerce 2.4.7

Correção do CVE-2025-54236 para resolver uma vulnerabilidade da API REST. A Adobe lançou uma hotfix para esse problema em setembro de 2025. Consulte o artigo da Base de Dados de Conhecimento Ação necessária: Atualização de Segurança Crítica Disponível para o Adobe Commerce (APSB25-88) para obter detalhes.

Os desenvolvedores devem revisar a validação do parâmetro do construtor da API REST para saber como atualizar as extensões para estarem em conformidade com essas alterações de segurança.

Migrar do TinyMCE para o Hugerte.org

Devido ao fim do suporte para o TinyMCE 5 e 6 e às incompatibilidades de licenciamento com o TinyMCE 7, a implementação atual do editor do Adobe Commerce WYSIWYG é migrada do TinyMCE para o editor HugeRTE de código aberto.

Essa migração garante que o Adobe Commerce permaneça em conformidade com o licenciamento de código aberto, evita vulnerabilidades conhecidas do TinyMCE 6 e fornece uma experiência de edição moderna e compatível para comerciantes e desenvolvedores.

Suporte adicionado para o protocolo STOMP Apache AtiveMQ Artemis

Adição de suporte para o agente de mensagens de código aberto AtiveMQ Artemis por meio do Simple Text Oriented Messaging Protocol (STOMP). Ele oferece um sistema de mensagens confiável e escalável, oferecendo flexibilidade para integrações baseadas em STOMP. Consulte Apache AtiveMQ Artemis no Guia de Configuração do Commerce.

Suporte a MariaDB—Suporte a MariaDB 10.11 adicionado.

Aprimoramento de desempenho da API—Resolve a degradação de desempenho em pontos de extremidade de API da Web assíncronos em massa que foram introduzidos após o patch de segurança anterior.

Correção de acesso de Bloqueios do CMS — Resolve um problema em que os usuários administradores com permissões restritas (como acesso somente de merchandising) não conseguiam exibir a página de listagem CMS Blocks.

Anteriormente, esses usuários encontravam um erro devido a parâmetros de configuração ausentes após a instalação de patches de segurança anteriores.

Compatibilidade com limite de cookies — Resolve uma alteração incompatível com versões anteriores envolvendo a constante MAX_NUM_COOKIES na estrutura. Esta atualização restaura o comportamento esperado e garante a compatibilidade para extensões ou personalizações que interagem com limites de cookies.

Operações assíncronas — Operações assíncronas restritas para substituir pedidos de clientes anteriores.

Gerenciando chaves de criptografia e criptografando dados novamente—O gerenciamento de chaves de criptografia foi reprojetado para melhorar a usabilidade e eliminar bugs e limitações anteriores.

Novos comandos CLI agora estão disponíveis para alterar chaves e criptografar novamente determinadas configurações do sistema, pagamento e dados de campos personalizados. Não há mais suporte para a alteração de chaves na interface do Administrador nesta versão. Você deve usar os comandos da CLI.

Correção para CVE-2025-24434—Resolve uma vulnerabilidade de autorização.

Essa correção também está disponível como um patch isolado. Consulte o artigo da Base de Dados de Conhecimento para obter detalhes.

Downgrade de versão do TinyMCE—A dependência do TinyMCE foi rebaixada da versão 7 para a 6.8.5 para resolver problemas de compatibilidade de licenciamento.

Essa alteração garante a conformidade contínua enquanto a Adobe avalia um editor alternativo de código aberto do WYSIWYG.

Atualização do TinyMCE—O editor do WYSIWYG no Administrador agora usa a versão mais recente da dependência do TinyMCE (7.3​).

• O TinyMCE 7.3 oferece uma experiência de usuário aprimorada, melhor colaboração e maior eficiência. O TinyMCE 5 foi removido da linha da versão 2.4.8​

• Como havia uma vulnerabilidade de segurança (CVE-2024-38357) relatada no TinyMCE 5.10, a dependência também foi atualizada para todas as linhas de versão atualmente com suporte e incluídas em todos os patches de segurança de outubro de 2024:

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Atualização do Require.js—O Adobe Commerce agora usa a versão mais recente do Require.js (2.3.7).

• Como havia uma vulnerabilidade de segurança (CVE-2024-38999) relatada no Require.js 2.3.6, a dependência também foi atualizada para todas as linhas de versão atualmente com suporte e incluída em todos os patches de segurança de outubro de 2024:

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Limitação de taxa paraone-time passwords—As novas opções de configuração do sistema a seguir estão disponíveis para habilitar a limitação de taxa na validação two-factor authentication (2FA) one-time password (OTP):

• Limite de novas tentativas para Autenticação de Dois Fatores
• Tempo de bloqueio da Autenticação de Dois Fatores (segundos)

A Adobe aconselha definir um limite para a validação OTP 2FA para limitar o número de tentativas de mitigação de ataques de força bruta. Consulte Segurança > 2FA no Guia de Referência de Configuração para obter mais informações.

Rotação de chave de criptografia—Um novo comando da CLI agora está disponível para alterar sua chave de criptografia. Consulte o artigo da Base de Dados de Conhecimento Solução de Problemas de Rotação de Chaves de Criptografia: CVE-2024-34102 para obter detalhes.

Correção para CVE-2020-27511—Resolve uma vulnerabilidade de segurança Prototype.js.

Correção para CVE-2024-39397—Resolve uma vulnerabilidade de segurança na execução remota de código. Essa vulnerabilidade afeta os comerciantes que usam o servidor Web Apache para implantações locais ou auto-hospedadas. Essa correção também está disponível como um patch isolado. Consulte o artigo Atualização de segurança disponível para o Adobe Commerce - APSB24-61 Knowledge Base para obter detalhes.

Correção para resolver um erro de JavaScript que impedia o Google Maps de ser renderizado corretamente no editor do PageBuilder. Consulte o artigo Patches revisados para perda de acesso ao Google Maps em todas as versões do Adobe Commerce para obter detalhes.

Hotfix para resolver um problema de validação de JSON web token (JWT) relacionado ao CVE-2024-34102. Consulte o artigo Atualização de segurança disponível para a Base de Dados de Conhecimento Adobe Commerce-APSB24-40 para obter detalhes.

Atualizar configurações de senha única para o Google Authenticator-Esta atualização é necessária para resolver um erro introduzido por uma alteração incompatível com versões anteriores na versão 2.4.7. A descrição do campo OTP Window agora fornece uma explicação precisa da configuração e o valor padrão foi alterado de 1 para 29.

Compatibilidade com a versão B2B — Para compatibilidade com o Commerce versão 2.4.7-p1, os comerciantes que têm a extensão B2B do Adobe Commerce devem atualizar para a versão B2B versão 1.4.2-p1.