Notas de versão de patches de segurança do Adobe Commerce 2.4.7

Atualização do TinyMCE—O editor do WYSIWYG no Administrador agora usa a versão mais recente da dependência do TinyMCE (7.3​).

• O TinyMCE 7.3 oferece uma experiência de usuário aprimorada, melhor colaboração e maior eficiência. O TinyMCE 5 foi removido da linha da versão 2.4.8​

• Como havia uma vulnerabilidade de segurança (CVE-2024-38357) relatada no TinyMCE 5.10, a dependência também foi atualizada para todas as linhas de versão atualmente com suporte e incluídas em todos os patches de segurança de outubro de 2024:

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Atualização do Require.js—O Adobe Commerce agora usa a versão mais recente do Require.js (2.3.7).

• Como havia uma vulnerabilidade de segurança (CVE-2024-38999) relatada no Require.js 2.3.6, a dependência também foi atualizada para todas as linhas de versão atualmente com suporte e incluída em todos os patches de segurança de outubro de 2024:

  • 2.4.7-p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Limitação de taxa paraone-time passwords—As novas opções de configuração do sistema a seguir estão disponíveis para habilitar a limitação de taxa na validação two-factor authentication (2FA) one-time password (OTP):

• Limite de novas tentativas para Autenticação de Dois Fatores
• Tempo de bloqueio da Autenticação de Dois Fatores (segundos)

O Adobe aconselha a definição de um limite para validação OTP 2FA para limitar o número de tentativas de mitigar ataques de força bruta. Consulte Segurança > 2FA no Guia de Referência de Configuração para obter mais informações.

Rotação de chave de criptografia—Um novo comando da CLI agora está disponível para alterar sua chave de criptografia. Consulte o artigo da Base de Dados de Conhecimento Solução de Problemas de Rotação de Chaves de Criptografia: CVE-2024-34102 para obter detalhes.

Correção para CVE-2020-27511—Resolve uma vulnerabilidade de segurança Prototype.js.

Correção para CVE-2024-39397—Resolve uma vulnerabilidade de segurança na execução remota de código. Essa vulnerabilidade afeta os comerciantes que usam o servidor Web Apache para implantações locais ou auto-hospedadas. Essa correção também está disponível como um patch isolado. Consulte o artigo Atualização de segurança disponível para o Adobe Commerce - APSB24-61 Knowledge Base para obter detalhes.

Correção para resolver um erro de JavaScript que impedia o Google Maps de ser renderizado corretamente no editor do PageBuilder. Consulte o artigo Patches revisados para perda de acesso ao Google Maps em todas as versões do Adobe Commerce para obter detalhes.

Hotfix para resolver um problema de validação de JSON web token (JWT) relacionado ao CVE-2024-34102. Consulte o artigo Atualização de segurança disponível para a Base de Dados de Conhecimento Adobe Commerce-APSB24-40 para obter detalhes.

Atualizar configurações de senha única para o Google Authenticator-Esta atualização é necessária para resolver um erro introduzido por uma alteração incompatível com versões anteriores na versão 2.4.7. A descrição do campo OTP Window agora fornece uma explicação precisa da configuração e o valor padrão foi alterado de 1 para 29.

Compatibilidade com a versão B2B — Para compatibilidade com o Commerce versão 2.4.7-p1, os comerciantes que têm a extensão B2B do Adobe Commerce devem atualizar para a versão B2B versão 1.4.2-p1.