Adobe Commerce 2.4.6安全性修補程式的發行說明

TinyMCE升級 — 管理員中的WYSIWYG編輯器現在使用最新版本的TinyMCE相依性(7.3​)。

• TinyMCE 7.3提供更優異的使用者體驗、更出色的協同合作，以及更高的效率。 TinyMCE 5已在2.4.8版本行中移除​。

• 由於TinyMCE 5.10中報告安全性弱點(CVE-2024-38357)，因此目前支援的所有發行版本系列也升級了相依性，並包含在所有的2024年10月安全性修補程式中：

  • 2.4.7 - p3
  • 2.4.6 - p8
  • 2.4.5-p10
  • 2.4.4-p11

Require.js升級—Adobe Commerce現在使用最新版Require.js (2.3.7)。

• 由於Require.js 2.3.6中報告有安全性弱點(CVE-2024-38999)，因此目前支援的所有發行版本行也升級了相依性，並包含在所有2024年10月安全性修補程式中：

  • 2.4.7 - p3
  • 2.4.6 - p8
  • 2.4.5-p10
  • 2.4.4-p11

one-time passwords ​的速率限制 — 下列新的系統組態選項現在可用於在two-factor authentication (2FA) one-time password (OTP)驗證上啟用速率限制：

• 雙因素驗證的重試限制
• 雙因素驗證鎖定時間（秒）

Adobe建議設定2FA OTP驗證的臨界值，以限制重試嘗試的次數，減少暴力攻擊。 如需詳細資訊，請參閱​ 組態參考指南 ​中的安全性> 2FA。

加密金鑰輪換 — 現在有新的CLI命令可用來變更您的加密金鑰。 如需詳細資訊，請參閱疑難排解加密金鑰輪換： CVE-2024-34102知識庫文章。

修正CVE-2020-27511 — 解決Prototype.js安全性弱點。

修正CVE-2024-39397 — 解決遠端程式碼執行安全性弱點。 此弱點會影響使用Apache Web Server進行內部部署或自行託管部署的商家。 此修正也可作為獨立修補程式使用。 檢視可用於Adobe Commerce的安全性更新 — APSB24-61知識庫文章以取得詳細資料。

解決JavaScript錯誤(導致Google Map無法在​ PageBuilder ​編輯器中正確呈現)的Hotfix。 如需詳細資訊，請參閱所有Adobe Commerce版本知識庫文章中Google地圖存取遺失的修訂修補程式。

解決與CVE-2024-34102相關的JSON Web權杖(JWT)驗證問題的Hotfix。 如需詳細資訊，請參閱Adobe Commerce-APSB24-40🔗知識庫文章中可用的安全性更新。

已新增子資源完整性(SRI)支援，以符合PCI 4.0對驗證付款頁面上指令碼完整性的要求。 子資源完整性(SRI)支援為駐留在本機檔案系統中的所有JavaScript資產提供完整性雜湊。 預設SRI功能僅在管理員和店面區域的付款頁面上實作。 不過，商家可以將預設設定延伸至其他頁面。 請參閱​ Commerce PHP開發人員指南.中的子資源完整性

內容安全性原則(CSP)的變更—Adobe Commerce內容安全性原則(CSP)的組態更新和增強功能，以符合PCI 4.0的要求。 如需詳細資訊，請參閱​ Commerce PHP Developer Guide ​中的內容安全性原則。

• Commerce管理員和店面區域的付款頁面的預設CSP設定現在是restrict模式。 對於所有其他頁面，預設設定為report-only模式。 在2.4.7之前的發行版本中，所有頁面的CSP都設定為report-only模式。

• 新增Nonce提供者，允許在CSP中執行內嵌指令碼。 Nonce提供者可協助為每個請求產生唯一的Nonce字串。 這些字串接著會附加至CSP標頭。

• 新增選項，可設定自訂URI以報告「管理員」中「建立訂單」頁面的CSP違規以及店面中的「結帳」頁面。 您可以從管理員新增設定，或將URI新增至config.xml檔案。

  note note
  NOTE
  將CSP設定更新為restrict模式可能會封鎖管理員和店面中付款頁面上的現有內嵌指令碼，這會在頁面載入時導致下列瀏覽器錯誤： Refused to execute inline script because it violates the following Content Security Policy directive: "script-src。 更新白名單設定以允許必要的指令碼來修正這些錯誤。 請參閱​_Commerce PHP開發人員指南_​中的疑難排解。

未產生快取金鑰的行為變更：

• 區塊的非產生快取金鑰現在包含與自動產生之金鑰的前置詞不同的前置詞。 （未產生的快取金鑰是透過範本指示詞語法或setCacheKey或setData方法設定的金鑰。）
• 區塊未產生的快取金鑰現在只能包含字母、數字、連字型大小(-)和底線字元(_)。

自動產生優惠券代碼數目的限制。 Commerce現在會限制自動產生的抵用券代碼數量。 預設最大值為250,000。 商戶可以使用新的​ Code Quantity Limit ​組態選項(Stores > Settings:Configuration > Customers > Promotions)來控制這個新限制。

清漆快取7.3支援。 此版本相容於最新版的Varnish Cache 7.3。6.0.x和7.2.x版本仍維持相容性，但Adobe建議使用Adobe Commerce 2.4.6-p1，僅搭配Varnish Cache 7.3或6.0版LTS。

RabbitMQ 3.11支援。 此版本與最新版RabbitMQ 3.11相容。RabbitMQ 3.9仍支援相容性至2023年8月，但Adobe建議僅將Adobe Commerce 2.4.6-p1與RabbitMQ 3.11搭配使用。

JavaScript資料庫。 過時的JavaScript程式庫已升級至最新的次要或修補程式版本，包括moment.js程式庫(v2.29.4)、jQuery UI程式庫(v1.13.2)和jQuery驗證外掛程式程式庫(v1.19.5)。

nginx.sample檔案不慎更新為變更，將fastcgi_pass的值從fastcgi_backend修改為php-fpm:9000。 此變更可以安全地還原或忽略。

遺失B2B安全性套件的相依性會在安裝或升級B2B擴充功能至1.4.0時造成下列安裝錯誤。

Your requirements could not be resolved to an installable set of packages.

  Problem 1
    - Root composer.json requires magento/extension-b2b 1.4.0 -> satisfiable by magento/extension-b2b[1.4.0].
    - magento/extension-b2b 1.4.0 requires magento/security-package-b2b 1.0.4-beta1 -> found magento/security-package-b2b[1.0.4-beta1] but it does not match your minimum-stability.

Installation failed, reverting ./composer.json and ./composer.lock to their original content.

此問題可透過為具有穩定性標籤的B2B安全性套件新增手動相依性來解決。 如需詳細資訊，請參閱B2B發行說明。