emicoecommerce/magento-apsb22-48-security-patchesQuesto repository contiene potenziali patch di sicurezza per la vulnerabilità di sicurezza Magento APSB22-48 e CVE-2022-35698
Patch ufficiali di Magento sono state rilasciate: Documentazione Magento Queste patch risolvono gli stessi problemi di sicurezza di questo repository. Tuttavia abbiamo aggiunto alcune correzioni per versioni più datate di Magento.
Questo repository contiene file di patch per Magento 2 per i problemi di sicurezza recentemente scoperti il 12-10-2022. I file di patch mirano a correggere le vulnerabilità CVE-2022-35698 e CVE-2022-35689.
Non ci sono molte informazioni sulla correzione esatta rilasciata nelle nuove versioni di patch di Magento. Per creare questi file di patch abbiamo fatto del nostro meglio per ispezionare il diff 2.4.4-p1...2.4.4-p2 ed estrarre le possibili correzioni di sicurezza che sembrano essere nelle direttive dei template di Magento.
Al momento la patch applica solo alcune correzioni nel namespace Magento/Framework/Filter che sono state estratte dal seguente commit: Commit Patch
Secondo le patch di Magento appena rilasciate, ciò copre l'attuale problema di sicurezza.
La patch magento/module-customer applica una correzione alla Webapi per la creazione del Cliente e al Controller di Conferma Cliente.
id in un intero.La patch magento/framework applica una correzione al parsing delle direttive dei template CMS, viene aggiunta una firma e un controllo di profondità.
Pensiamo che la causa possano essere problemi con direttive CMS annidate in Magento 2 e alcuni dati dei clienti esposti a un attacco XSS.
Usa un pacchetto come cweagans/composer-patches o vaimo/composer-patches per applicare il file di patch corretto al tuo negozio Magento.
Le patch devono essere applicate ai pacchetti magento/framework e magento/module-customer.
Il file di patch corretto si trova nella cartella corrispondente alla tua versione di Magento 2.
Assicurati di includere le patch per email, customer e framework. La patch email corregge una modifica introdotta dalla patch di sicurezza che potrebbe rompere gli oggetti dei template email.
La patch modifica il modo in cui vengono analizzate le direttive dei template, ciò potrebbe rompere alcune pagine CMS in cui il contenuto è annidato in una traduzione __() di Magento 2.
Quando si verifica uno di questi errori di generazione del contenuto, assicurati di rimuovere la chiamata __() ridondante nel tuo codice.
Sentiti libero di creare file di patch mancanti per la tua versione di Magento 2 e di creare una Pull Request!