Adobe Commerce 2.4.6安全修补程序的发行说明

TinyMCE升级 — 管理员中的WYSIWYG编辑器现在使用最新版本的TinyMCE依赖项(7.3​)。

• TinyMCE 7.3提供了增强的用户体验、更好的协作和更高的效率。 TinyMCE 5已在2.4.8发行版中移除​。

• 由于TinyMCE 5.10中报告了安全漏洞(CVE-2024-38357)，因此当前支持的所有发行行都已升级依赖关系，并且这些依赖关系已包含在所有的2024年10月安全修补程序中：

  • 2.4.7 - p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

Require.js升级—Adobe Commerce现在使用最新版本的Require.js (2.3.7)。

• 由于Require.js 2.3.6中报告了一个安全漏洞(CVE-2024-38999)，因此当前支持的所有版本行均已升级依赖关系，并且所有2024年10月安全修补程序中均包含该依赖关系：

  • 2.4.7 - p3
  • 2.4.6-p8
  • 2.4.5-p10
  • 2.4.4-p11

one-time passwords ​的速率限制 — 以下新的系统配置选项现在可用于在two-factor authentication (2FA) one-time password (OTP)验证中启用速率限制：

• 对双重身份验证进行​ 重试尝试限制
• 双重身份验证锁定时间（秒）

Adobe建议为2FA OTP验证设置阈值，以限制重试尝试的次数，从而缓解暴力攻击。 有关详细信息，请参阅​ 配置参考指南 ​中的安全性> 2FA。

加密密钥轮替 — 现在可以使用新的CLI命令更改您的加密密钥。 有关详细信息，请参阅Troubleshooting Encryption Key Rotation： CVE-2024-34102知识库文章。

修复CVE-2020-27511 — 解决了Prototype.js安全漏洞。

修复CVE-2024-39397 — 解决远程代码执行安全漏洞。 此漏洞会影响使用Apache Web Server进行内部部署或自托管部署的商家。 此修复还作为独立修补程序提供。 有关详细信息，请参阅Adobe Commerce可用的安全更新 — APSB24-61知识库文章。

用于解决导致Google映射无法在​ PageBuilder ​编辑器中正确呈现的JavaScript错误的修补程序。 有关详细信息，请参阅所有Adobe Commerce版本上的Google映射的修订修补程序访问丢失知识库文章。

修复了与CVE-2024-34102相关的JSON Web令牌(JWT)验证问题。 有关详细信息，请参阅Adobe Commerce-APSB24-40🔗知识库文章中提供的安全更新。

添加了Subresource Integrity (SRI)支持 ​以符合PCI 4.0要求验证支付页面上的脚本完整性。 子资源完整性(SRI)支持为驻留在本地文件系统中的所有JavaScript资源提供完整性哈希。 默认SRI功能仅在管理员和店面区域的支付页面上实施。 但是，商家可以将默认配置扩展到其他页面。 请参阅​ Commerce PHP开发人员指南.中的子资源完整性

对内容安全策略(CSP)的更改 — 对Adobe Commerce内容安全策略(CSP)的配置更新和增强以符合PCI 4.0要求。 有关详细信息，请参阅​ Commerce PHP Developer Guide ​中的内容安全策略。

• Commerce管理员和店面区域的付款页面的默认CSP配置现在为restrict模式。 对于所有其他页面，默认配置为report-only模式。 在低于2.4.7的版本中，CSP在所有页面中均配置为report-only模式。

• 添加了一个nonce提供程序，以允许在CSP中执行内联脚本。 nonce提供程序有助于为每个请求生成唯一的nonce字符串。 随后，这些字符串将附加到CSP标头。

• 添加了用于配置自定义URI以报告“管理员”中“创建订单”页面和“店面”中“结帐”页面的CSP违规的选项。 您可以从管理员添加配置，或通过将URI添加到config.xml文件来添加。

  note note
  NOTE
  将CSP配置更新为restrict模式可能会阻止管理员和店面中付款页面上现有的内联脚本，这会导致页面加载时出现以下浏览器错误： Refused to execute inline script because it violates the following Content Security Policy directive: "script-src。 通过更新白名单配置以允许所需的脚本修复这些错误。 请参阅​_Commerce PHP开发人员指南_​中的疑难解答。

更改未生成的缓存键的行为：

• 块的非生成缓存键现在包含与自动生成的键的前缀不同的前缀。 （未生成的缓存键是通过template指令语法或setCacheKey或setData方法设置的键。）
• 块的非生成缓存键现在只能包含字母、数字、连字符(-)和下划线字符(_)。

自动生成的优惠券代码数量的限制。 Commerce现在限制自动生成的优惠券代码数量。 默认最大值为250,000。 商家可以使用新的​ Code Quantity Limit ​配置选项(Stores > Settings:Configuration > Customers > Promotions)来控制此新限制。

清漆缓存7.3支持。 此版本与最新版本的Varnish Cache 7.3兼容。与6.0.x和7.2.x版本的兼容性保持不变，但Adobe建议仅将Adobe Commerce 2.4.6-p1与Varnish Cache版本7.3或版本6.0 LTS一起使用。

RabbitMQ 3.11支持。 此版本与最新版本的RabbitMQ 3.11兼容。兼容性保持与RabbitMQ 3.9的兼容，该版本在2023年8月之前受支持，但Adobe建议仅在RabbitMQ 3.11中使用Adobe Commerce 2.4.6-p1。

JavaScript库。 过时的JavaScript库已升级到最新的次要或修补程序版本，包括moment.js库(v2.29.4)、jQuery UI库(v1.13.2)和jQuery验证插件库(v1.19.5)。

nginx.sample文件无意中更新了更改，将fastcgi_pass的值从fastcgi_backend修改为php-fpm:9000。 可以安全地还原或忽略此更改。

在安装或将B2B扩展升级到1.4.0时，缺少B2B安全包的依赖项会导致以下安装错误。

Your requirements could not be resolved to an installable set of packages.

  Problem 1
    - Root composer.json requires magento/extension-b2b 1.4.0 -> satisfiable by magento/extension-b2b[1.4.0].
    - magento/extension-b2b 1.4.0 requires magento/security-package-b2b 1.0.4-beta1 -> found magento/security-package-b2b[1.0.4-beta1] but it does not match your minimum-stability.

Installation failed, reverting ./composer.json and ./composer.lock to their original content.

通过为带有稳定性标记的B2B安全包添加手动依赖关系，可以解决此问题。 有关详细信息，请参阅B2B发行说明。