Magento公式パッチがリリースされました: Magento Docs これらのパッチは、このリポジトリと同様のセキュリティ問題に対処しています。ただし、古いMagentoバージョン向けにいくつかの修正を追加しています。

APSB22-48 用セキュリティパッチ

このリポジトリには、12-10-2022に発見されたセキュリティ問題に対するMagento 2パッチファイルが含まれています。 パッチファイルは、CVE-2022-35698 および CVE-2022-35689 の脆弱性を修正することを目的としています。

Magentoの新しくリリースされたパッチバージョンに含まれる正確な修正内容についての情報はあまりありません。 これらのパッチファイルを作成するために、2.4.4-p1...2.4.4-p2 diff を調査し、Magentoのテンプレートディレクティブに関係すると思われるセキュリティ修正を抽出する最善の努力をしました。

内容

現時点のパッチは、Magento/Framework/Filter 名前空間内のいくつかの修正のみを適用します。これらは次のコミットから抽出されています: Patch Commit

新しくリリースされたMagentoパッチによると、これにより現在のセキュリティ問題がカバーされます。

magento/module-customer パッチは、顧客作成および顧客確認コントローラー用のWebapiに修正を適用します。

• Webapiパッチは、大文字・小文字の異なる複数のキーフィールドを送信でき、Magentoによる検証を無視する可能性があった問題を修正します。
• 確認コントローラーは、id POSTパラメータを整数にキャストするように変更されました。

magento/framework パッチは、CMSテンプレートディレクティブの解析に修正を適用し、シグネチャと深さチェックが追加されます。 原因は、Magento 2 のネストされたCMSディレクティブに関する問題と、特定の顧客データがXSS攻撃にさらされることにあると考えられます。