SUPEE-10888 é um novo patch de segurança para o Magento 1, que aborda 12 questões de segurança.
https://magento.com/security/patches/supee-10888
SUPEE-10888, Magento Commerce 1.14.3.10 e Open Source 1.9.3.10 contêm vários aprimoramentos de segurança que ajudam a fechar scripts entre sites (XSS), falsificação de solicitação entre sites (CSRF) e outras vulnerabilidades.
O patch pode ser encontrado em https://magento.com/tech-resources/download#download2243
Quais problemas comuns você deve observar ao aplicar esse patch?
magento-1
patches
security
supee-10888
Luke Rodgers
fonte
fonte
Respostas:
Os arquivos abaixo foram alterados / criados após a aplicação do patch
fonte
Nos patches v1 originais com
2018-09-18o nome do arquivo:O Magento corrigiu silenciosamente esse problema ao liberar novos arquivos de patch. Ainda assim,
v1mas com2018-09-19o nome do arquivo.fonte
diff --git skin/adminhtml/default/enterprise/images/placeholder/thumbnail.jpge todas as seguintes linhas do arquivo de patchProblema com o patch
PATCH_SUPEE-10888_CE_v1.9.0.1_v1-2018-09-18-02-54-39.shno baunilha Magento 1.8.1.0, com todos os patches anteriores instalados:De fato, o arquivo
app/design/frontend/rwd/default/template/bundle/sales/order/items/renderer.phtmlnão existe no 1.8.1.0, então eu removi essa alteração do arquivo de patch.Não consegui fazer isso com a
2018-09-19versão atualizada do patch. Só obteve sucesso com o arquivoPATCH_SUPEE-10888_CE_v1.8.1.0_v1-2018-09-18-02-54-39depois de remover também athumbnail.jpgalteração, como explicado no meu comentário em /magento//a/242823/13642fonte
SUPEE-10888 for CE 1.8.1.0-1.9.0.1 (0.06 MB)Se você estiver usando um tema personalizado e seu tema substituir qualquer arquivo abaixo, será necessário adicionar as alterações manualmente no seu tema
por exemplo, se você adicionou
no seu tema, você precisará fazer alterações manualmente no
Por exemplo, Localizar estas linhas
e substitua por abaixo
fonte
Conforme descrito em /magento//a/243531/142 , você precisa verificar todos os seus arquivos de modelo de front-end personalizados e incluir as alterações do patch lá manualmente.
Além disso, você precisa verificar o seu
account_password_reset_confirmation.htmlmodelo de email. Dependendo da sua loja, abaixoapp/locale/[LANG]/template/email/ou no back-end, em Sistema> Emails transacionais para todos os idiomas. Em todos os respectivos modelos, você precisa mudar_query_id=$customer.idpara_query_id=$customer.rp_customer_id. A alteração foi implementada de maneira compatível com versões anteriores, mas se você deseja incluir todas as melhorias de segurança, não deve perder essa alteração.fonte
Hoje de manhã eu apliquei o patch. Os arquivos principais estão no back-end do Magento.
Escapehtml adicionou arquivos
No comércio Magento, foram adicionados outros arquivos além dos arquivos acima:
Não enfrento nenhum problema até agora.
fonte
No Magento EE 1.13.1.0
Patch está procurando um arquivo errado (arquivo da comunidade, acredito).
Teve que excluir essas linhas do arquivo de correção e aplicar. Aplicou-se com sucesso.
Notificamos a equipe principal do Magento, ainda para receber feedback.
fonte
O formulário de redefinição de senha não funciona mais após a instalação do patch no CE 1.7.0.2 com todos os patches anteriores instalados.
(PATCH_SUPEE-10888_CE_v1.7.0.2_v1-2018-09-18-03-00-22.sh)
EDITAR:
O problema não ocorre mais após a reversão do patch de 18 de setembro (v1) e a aplicação do patch atualizado de 19 de setembro (v1) + atualização do cache e limpeza do cache magento.
(PATCH_SUPEE-10888_CE_v1.7.0.2_v1-2018-09-19-03-01-22.sh)
fonte
Obrigado, Robb pela pista.
Foi necessário aplicar o SUPEE-10752. Também apliquei o patch de compatibilidade PHP 7.2 e removi o patch de compatibilidade Inchoo_PHP7 antes de instalar o SUPEE-10888. Trabalhou sem problemas.
fonte
Magento CE 1.6.2.0
Erro após a aplicação do patch ao tentar redefinir a senha da conta do cliente no front-end.
Erro fatal: chame uma função de membro getBackend () em um não-objeto no app / code / core / Mage / Eav / Model / Entity / Abstract.php na linha 1536.
Acontece que o patch não executou o script de atualização do SQL (app / code / core / Mage / Customer / sql / customer_setup / upgrade-1.6.1.0.1.2-1.6.1.0.1.3.php) que criou um novo atributo chamado rp_customer_id.
Verifique se você limpou o Magento Cache, mas mais importante, se o cache de verniz está ativado, limpe-o. Depois de desativar todo o cache e limpar o cache de verniz, o script SQL criou o novo atributo no banco de dados.
fonte
Foi encontrado um pequeno erro de digitação no patch para 1.14.2.0 a 1.14.2.4
No arquivo
app/design/frontend/enterprise/iphone/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml, ele faz as seguintes alterações por engano:<dt><?php echo $this->escspeHtml($this->getLinksTitle()); ?></dt>ao invés de
<dt><?php echo $this->escapeHtml($this->getLinksTitle()); ?></dt>Aqui está o diff para referência:
diff --git app/design/frontend/enterprise/iphone/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml app/design/frontend/enterprise/iphone/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml index 6ed3cd9bfd4..f8b1573605a 100644 --- app/design/frontend/enterprise/iphone/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml +++ app/design/frontend/enterprise/iphone/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml @@ -55,7 +55,7 @@ <!-- downloadable --> <?php if ($links = $this->getLinks()): ?> <dl class="item-options"> - <dt><?php echo $this->getLinksTitle() ?></dt> + <dt><?php echo $this->escspeHtml($this->getLinksTitle()); ?></dt> <?php foreach ($links->getPurchasedItems() as $link): ?> <dd><?php echo $this->escapeHtml($link->getLinkTitle()); ?></dd> <?php endforeach; ?>fonte
Há um erro de digitação
/app/code/core/Mage/Core/etc/system.xmlno interior<crate_admin_user_notification translate="label comment">,<create_admin_user_notification translate="label comment">mas ele não quebra porque o uso também está escrito errado emif(Mage::getStoreConfigFlag('admin/security/crate_admin_user_notification')fonte
Atualmente falhando aqui no Magento CE 1.9.1.0.
Uma verificação visual dos arquivos de origem confirma que o código relevante não está lá.
...
Como indicado, não existe esse arquivo.
fonte
Apenas um FYI para usuários de EE, já que esse patch requer o SUPEE-10752, você pode encontrar algumas sessões sendo aleatoriamente eliminadas ou seu checkout redirecionado para a página inicial em vez da página de sucesso.
Fomos ao processo usual de aplicação dos seguintes patches nesta ordem:
No entanto, o patch SUPEE-10752 para EE contém as seguintes alterações: app / code / core / Mage / Core / Model / Session / Abstract / Varien.php
Eu tive que aplicar na última parte o invalid_session_fix-2018-03-14-05-10-19.patch abaixo, que é encontrado em https://magento.com/tech-resources/download sob SUPEE-10570 > invalid_session_fix.patch (0 MB)
fonte
Eu já vi um problema com alguns clientes nos quais eles nos chamam de incapazes de fazer login e visualizar sua conta.
O e-mail e a senha estão corretos - nenhuma mensagem de erro de login, a página é recarregada apenas na página inicial ou na página de login, eles parecem não conseguir entrar na conta! Isso aconteceu após a aplicação do patch 10888, e temos o 10752 aplicado.
Depois de cavar, encontrei na tabela
customer_entitye percebi que os clientes afetados tinham um carimbo de data e horacreated_dateapós oupdated_date. Eu acho que não deveria ser assim, certo?Então, para testar, alterei a data criada para ser ANTES da data atualizada, mesmo em um minuto. Para alguns usuários, isso por si só os ajudou a voltar para suas contas. Enquanto para outros usuários, eu também tive que atualizar sua senha via SQL, usando a consulta:
Não tenho que investigar completamente as alterações que o SUPEE 10888 faz nos arquivos principais do cliente, mas há definitivamente problemas com o patch.
Além disso, não consigo atualizar a senha dos clientes através do painel de administração, como faria normalmente, ao salvar, a página resulta em um erro.
Usando 1.9.2.4
fonte
Estou usando o Magento 1.9.3.7. Os é ubuntu. A versão do PHP é 7.0.
Quando tentou aplicar o caminho SUPPER-10888, ficando abaixo do erro.
ERRO: O patch não pode ser aplicado / revertido com sucesso.
verificação do arquivo de aplicativo / código / núcleo / Mage / Admin / Model / User.php O Hunk # 2 obteve sucesso em 676 (deslocamento de -20 linhas). verificação de aplicativo de arquivo / code / core / Mage / Admin / etc / config.xml verificação de aplicativo de arquivo / code / core / Mage / Adminhtml / Block / Catalog / Product / Edit / Tab / Super / Config.php verificação de aplicativo de arquivo / code / core / Mage / Adminhtml / Block / Widget / Grid / Massaction / Abstract.php verificando o aplicativo de arquivo / código / core / Mage / Adminhtml / Model / LayoutUpdate / Validator.php Hunk # 2 FAILED aos 57. Hunk # 3 teve sucesso aos 80 ( deslocamento de -12 linhas). O pedaço 4 obteve 115 com fuzz 2 (deslocamento de -12 linhas). O pedaço 5 conseguiu 139 com fuzz 1 (deslocamento de -21 linhas). O pedaço 6 foi bem-sucedido em 161 (deslocamento de -21 linhas). Um em cada seis blocos falhou na verificação do aplicativo de arquivo / código / core / Mage / Adminhtml / controllers / Catalog / ProductController.php O pedaço 1 foi bem-sucedido em 1020 (deslocamento -11 linhas). verificando o aplicativo de arquivo / code / core / Mage / Adminhtml / controllers / Permissions / UserController.php verificando o aplicativo de arquivo / code / core / Mage / Adminhtml / etc / config.xml verificando o aplicativo de arquivo / code / core / Mage / Mage / Checkout / Model / Api / Resource / Customer.php Hunk # 1 conseguiu 151 com fuzz 1 (deslocamento -1 linhas). verificando arquivo app / code / core / Mage / Checkout / Model / Type / Onepage.php O pedaço 1 foi bem-sucedido no 731 com o fuzz 1 (deslocamento -3 linhas). verificando o aplicativo de arquivo / code / core / Mage / Cms / Model / Wysiwyg / Images / Storage.php verificando o aplicativo de arquivo / code / core / Mage / Core / etc / config.xml verificando o aplicativo de arquivo / code / core / Mage / Mage / Core / etc / system.xml aplicativo de arquivo de verificação / code / core / Mage / Customer / Helper / Data.php aplicativo de arquivo de verificação / code / core / Mage / Customer / Model / Customer.php aplicativo de arquivo de verificação / code / core / Mage / Customer /Model/Resource/Customer.php O pedaço 1 foi bem-sucedido em 332 (deslocamento -1 linhas). verificação do arquivo de aplicativo / código / núcleo / Mago / Cliente / controladores / AccountController.php O pedaço 1 foi bem-sucedido em 755 (deslocamento -1 linhas). O pedaço 2 foi bem-sucedido em 810 (deslocamento -1 linhas). O pedaço 3 falhou em 871. O pedaço 4 teve sucesso em 883 (deslocamento de -2 linhas). 1 em cada 4 falhas Falha na verificação do aplicativo de arquivo / código / core / Mage / Customer / etc / config.xml Hunk # 1 FALHOU em 28. 1 em 1 hunk FAILED na verificação do aplicativo de arquivo / código / core / Mage / Customer / sql / customer_setup / upgrade-1.6.2.0.5.1.2-1.6.2.0.5.1.3.php, verificando arquivo app / code / core / Mage / Paypal / Model / Express / Checkout.php, verificando arquivo app / code / core / Mage / O XmlConnect / controllers / ReviewController.php não consegue encontrar o arquivo para corrigir na linha de entrada 600 Talvez você tenha usado a opção -p ou --strip errada? O pedaço 4 obteve sucesso em 883 (deslocamento de -2 linhas). 1 em cada 4 falhas Falha na verificação do aplicativo de arquivo / código / core / Mage / Customer / etc / config.xml Hunk # 1 FALHOU em 28. 1 em 1 hunk FAILED na verificação do aplicativo de arquivo / código / core / Mage / Customer / sql / customer_setup / upgrade-1.6.2.0.5.1.2-1.6.2.0.5.1.3.php, verificando arquivo app / code / core / Mage / Paypal / Model / Express / Checkout.php, verificando arquivo app / code / core / Mage / O XmlConnect / controllers / ReviewController.php não consegue encontrar o arquivo para corrigir na linha de entrada 600 Talvez você tenha usado a opção -p ou --strip errada? O pedaço 4 obteve sucesso em 883 (deslocamento de -2 linhas). 1 em cada 4 falhas Falha na verificação do aplicativo de arquivo / código / core / Mage / Customer / etc / config.xml Hunk # 1 FALHOU em 28. 1 em 1 hunk FAILED na verificação do aplicativo de arquivo / código / core / Mage / Customer / sql / customer_setup / upgrade-1.6.2.0.5.1.2-1.6.2.0.5.1.3.php, verificando arquivo app / code / core / Mage / Paypal / Model / Express / Checkout.php, verificando arquivo app / code / core / Mage / O XmlConnect / controllers / ReviewController.php não consegue encontrar o arquivo para corrigir na linha de entrada 600 Talvez você tenha usado a opção -p ou --strip errada?
O texto que levou a isso foi:
| diff --git app / code / core / Zend / Filter / PregReplace.php app / code / core / Zend / Filter / PregReplace.php | index 586c0fe20a0..d6fa2dac0ec 100644 | --- app / code / core / Zend / Filter / PregReplace.php
| +++ app / code / core / Zend / Filter / PregReplace.php
Arquivo para patch: Ignorar este patch? [y] Ignorando patch. 2 de 2 blocos ignoraram a verificação do aplicativo de arquivo / design / adminhtml / default / template / bundle / product / edit / bundle / option.phtml Hunk # 1 FALHOU em 209. 1 de 1 hunk FAILED verificou o aplicativo de arquivo / design / arquivo de verificação adminhtml / default / default / template / bundle / sales / creditmemo / create / items / renderer.phtml arquivo de verificação app / design / adminhtml / default / default / template / bundle / sales / creditmemo / view / items / renderer.phtml app / design / adminhtml / default / default / template / bundle / sales / invoice / create / items / renderer.phtml arquivo de verificação app / design / adminhtml / default / default / template / bundle / sales / invoice / view / items / renderer .phtml verificando arquivo app / design / adminhtml / default / default / template / bundle / sales / order / view / items / renderer.
Alguma idéia do que está faltando?
fonte