Répondez y. Si vous répondez n, ou si vous exécutez en mode non interactif (CI, --no-interaction) sans l'avoir autorisé au préalable, Composer ignore le plugin et votre boutique n'est pas corrigée. Pour l'autoriser à l'avance (requis pour la CI et les déploiements), ajoutez ceci à votre composer.json racine avant l'installation :

Lors du prochain composer install ou composer update, le plugin applique le correctif et affiche ce qu'il a fait :

Ce qu'il fait

Lors de post-install-cmd et post-update-cmd, il :

1. Détecte la boutique : magento/product-community-edition (Magento) ou mage-os/product-community-edition (Mage-OS), avec repli sur magento/framework.
2. Sélectionne l'ensemble de correctifs pour votre ligne Magento (2.4.4 à 2.4.9). Si votre version exacte n'a pas d'ensemble, il essaie le plus proche plutôt que d'abandonner.
3. Applique le correctif d'Adobe à framework, module-backend, module-email, module-newsletter et au processeur de rapport d'erreurs, sous le bon fournisseur (magento/ ou mage-os/).

Il est idempotent : une boutique déjà corrigée signale already applied et rien ne change.

Sûr par conception

• Il ne touche jamais aux versions de vos packages Magento ou Mage-OS. Il modifie uniquement les fichiers déjà installés. L'exiger ajoute le plugin, rien d'autre.
• patch est strict. Un hunk ne s'applique que si les lignes environnantes correspondent exactement, donc le correctif ne peut pas atterrir au mauvais endroit. Sur une version pour laquelle il n'a pas été construit, une non-correspondance est signalée comme une erreur explicite, ni appliquée silencieusement ni masquée.
• Un échec est explicite. Si un hunk échoue, le plugin affiche une erreur rouge indiquant que la boutique peut encore être vulnérable, afin qu'un correctif cassé ne puisse pas passer inaperçu. Pour un correctif de sécurité, cela importe plus qu'un journal propre.

Couverture

Le correctif d'Adobe est construit par niveau de patch Magento ; ce plugin les inclut tous et sélectionne selon votre version. Vérifié de bout en bout sur Magento 2.4.8, et le correctif framework vérifié contre Mage-OS framework 2.3.0 (Magento 2.4.8-p5) et 3.4.0 (Magento 2.4.9). Les autres niveaux de patch reposent sur la stricte de patch : ils s'appliquent là où les fichiers sont inchangés et signalent une non-correspondance sinon.

Les lignes Mage-OS correspondent à celles-ci selon la version Magento qu'elles suivent.

Supprimez-le après la mise à niveau

Cela cesse de réappliquer le correctif. Cela ne revient pas sur les fichiers déjà corrigés ; passez à une version qui contient le correctif et réinstallez pour obtenir des fichiers vendor propres.

Après avoir corrigé une boutique qui a été exposée

Le correctif ferme la porte ; il n'expulse pas un attaquant qui est déjà entré ni n'invalide les secrets qu'il a lus. Si vous avez trouvé un indicateur de compromission, faites pivoter la clé de chiffrement, les identifiants de base de données et d'administration, les jetons API et les clés de passerelle de paiement, et suivez le guide de nettoyage dans le dépôt d'atténuation.

Crédits et licence

Le correctif appartient à Adobe (APSB26-146). Les fichiers de correctif sous patches/ sont le VULN-39341 d'Adobe, reconditionnés pour une application par package par yellowteak. La découverte et l'avis original appartiennent à Sansec. Le code propre de ce plugin est sous licence MIT ; le contenu des correctifs sous patches/ appartient à Adobe et n'est pas couvert par cette licence.