• Патч Webapi исправляет проблему, из-за которой можно было отправлять несколько ключей с различающимся регистром ключевых полей, что потенциально позволяло игнорировать любую валидацию, выполняемую Magento.
• Контроллер подтверждения изменён таким образом, чтобы приводить POST-параметр id к целочисленному типу.

Патч magento/framework применяет исправление к разбору директив шаблонов CMS: добавлена сигнатура и проверка глубины. Мы считаем, что причиной могут быть проблемы с вложенными директивами CMS в Magento 2 и возможностью раскрытия некоторых данных клиентов при XSS-атаке.

Установка

Используйте пакет, например cweagans/composer-patches или vaimo/composer-patches, чтобы применить соответствующий файл патча к вашему магазину Magento. Патчи должны применяться к пакетам magento/framework и magento/module-customer. Нужный файл патча можно найти в папке, соответствующей вашей версии Magento 2.

Убедитесь, что вы включили патчи email, customer и framework. Патч email исправляет изменение, внесённое патчем безопасности, которое может ломать темы шаблонов электронных писем.

Устранение неполадок

Произошла ошибка во время генерации контента

Патч изменяет способ разбора директив шаблонов, что может сломать некоторые CMS-страницы, где контент вложен в перевод Magento 2 __(). Если возникает одна из таких ошибок генерации контента, убедитесь, что вы удалили избыточный вызов __() в своём коде.

Вклад в проект

Не стесняйтесь создавать недостающие файлы патчей для вашей версии Magento 2 и открывать Pull Request!