セキュリティパッチSUPEE-10415-考えられる問題?


37

新しいMagento 1パッチSUPEE-10415がリリースされました

このパッチは、いくつかのタイプのセキュリティ関連の問題に対する保護を提供します

情報ページ:https : //magento.com/security/patches/supee-10415
ダウンロードページ: https //magento.com/tech-resources/download

気をつけるべき問題は何ですか?

また、パッチのインストール後に見つかったすべてのバグと問題を共有してください。


  • バニラにSUPEE-10415を適用することの問題1.9.1.1は、ショーは、塊エラーメッセージによる適用できないImage.php編集:2017年12月7日現在、SUPEE-10497で修正が提供されています

  • 8788バージョン2がインストールされている必要があります。インストールされていない場合、「サポートされていないデータ型」エラーが表示されます。詳細情報。

  • SUPEE-10415へのアップグレード後、errors /ディレクトリからの「404:Page Not Found」エラー。この問題は、特定のサードパーティの拡張機能を実行するMagentoインストールでのみ発生します。
    回避策:拡張機能またはカスタマイズによってPHP警告が生成されていないことを確認します。

5
ここでMagento 1.9.2.4CEに問題なくデプロイされました-ほとんどの変更はadminの変数のサニテーション、特にログファイルの保存のようです。消毒に関しても石鹸APIにいくつかの変更があるようです。レビューは管理領域でもサニタイズされるため、悪意のあるコードがmo(投機的)のレビューに投稿される可能性のある悪用がある可能性があります
リッキーオーディンマシューズ

2
Magento 1.9.3.0 CEにデプロイされ、ここで問題は発生しません。そのパッチをまだ適用していない場合は、10266より前のパッチが必要です。
-danmentzer

1
1.9.1.0-「ショッピングカート価格ルール」で、パッチによりエラーが発生-ビュールールでハードエラー-ログエントリ-a:5:{i:0; s:23: "サポートされていないデータタイプN"; i: 1; s:1464: "#0 /opt/bitnami/apps/magento/htdocs/lib/Unserialize/Reader/Arr.php(102):Unserialize_Reader_ArrValue-> read( 'N'、 ';')----それはSUPEE-10415で何かあるように、固定パッチ復帰
Laith

1
回答を投稿する評判はありませんが、Magento 1.9.3.7にアップグレードしてからGitを使用してこのパッチとマージすることはできません。デフォルトのGitの動作を使用するとMAXIMUM_PASSWORD_LENGTH定数が2回追加されます(これの回避策である設定)。
toon81

1
1.9.1.1の問題の場合:代わりにSUPEE-10497を使用してください。1.9.1.1でこの問題に対処するためにリリースされたばかりです。このパッチをインストールする前にSUPEE-10266を削除する必要があるため、リリースノートをお読みください。
ピョートルカミンスキー

回答:


26

以下のファイルは、パッチSUPEE-10415の適用後に更新/追加されます

app/Mage.php
app/code/core/Mage/Adminhtml/Block/Report/Review/Detail.php
app/code/core/Mage/Adminhtml/Block/Report/Tag/Product/Detail.php
app/code/core/Mage/Adminhtml/Block/Review/Add.php
app/code/core/Mage/Adminhtml/Block/Review/Edit/Form.php
app/code/core/Mage/Adminhtml/Controller/Action.php
app/code/core/Mage/Adminhtml/Model/LayoutUpdate/Validator.php
app/code/core/Mage/Adminhtml/Model/System/Config/Backend/Filename.php
app/code/core/Mage/Api/Helper/Data.php
app/code/core/Mage/Api/Model/Server/Adapter/Soap.php
app/code/core/Mage/Api/Model/Wsdl/Config.php
app/code/core/Mage/Api/Model/Wsdl/Config/Base.php
app/code/core/Mage/Core/Helper/String.php
app/code/core/Mage/Core/Model/File/Validator/Image.php
app/code/core/Mage/Core/etc/config.xml
app/code/core/Mage/Core/etc/system.xml
app/code/core/Mage/Customer/Model/Customer.php
app/code/core/Mage/Eav/Model/Entity/Attribute/Backend/Serialized.php
app/code/core/Mage/Log/Helper/Data.php
app/code/core/Mage/Rule/Model/Abstract.php
app/code/core/Mage/Sales/Block/Adminhtml/Billing/Agreement/Grid.php
app/code/core/Zend/Form/Decorator/Form.php
app/design/adminhtml/default/default/template/backup/dialogs.phtml
app/design/adminhtml/default/default/template/sales/billing/agreement/view/tab/info.phtml
app/design/adminhtml/default/default/template/xmlconnect/edit/tab/content.phtml
app/design/adminhtml/default/default/template/xmlconnect/edit/tab/design/image_edit.phtml
app/locale/en_US/Mage_Adminhtml.csv
app/locale/en_US/Mage_Customer.csv
js/mage/adminhtml/backup.js
lib/Varien/Filter/FormElementName.php

重要なポイント:

1)許可されるファイル拡張子:log、txt、html、csv。以下のファイルをチェックインする

app/Mage.php
app/code/core/Mage/Adminhtml/Model/System/Config/Backend/Filename.php
app/code/core/Mage/Core/etc/system.xml
app/code/core/Mage/Log/Helper/Data.php

2)最大パスワード長セットは256文字で、app/code/core/Mage/Customer/Model/Customer.phpファイルの検証チェック

@@ -74,6 +74,11 @@ class Mage_Customer_Model_Customer extends Mage_Core_Model_Abstract
     const MINIMUM_PASSWORD_LENGTH = 6;

     /**
+     * Maximum Password Length
+     */
+    const MAXIMUM_PASSWORD_LENGTH = 256;
+
+    /**
      * Model event prefix
      *
      * @var string
@@ -876,6 +881,10 @@ class Mage_Customer_Model_Customer extends Mage_Core_Model_Abstract
             $errors[] = Mage::helper('customer')
                 ->__('The minimum password length is %s', self::MINIMUM_PASSWORD_LENGTH);
         }
+        if (strlen($password) && !Zend_Validate::is($password, 'StringLength', array('max' => self::MAXIMUM_PASSWORD_LENGTH))) {
+            $errors[] = Mage::helper('customer')
+                ->__('Please enter a password with at most %s characters.', self::MAXIMUM_PASSWORD_LENGTH);
+        }
         $confirmation = $this->getPasswordConfirmation();
         if ($password != $confirmation) {
             $errors[] = Mage::helper('customer')->__('Please make sure your passwords match.');
@@ -902,7 +911,7 @@ class Mage_Customer_Model_Customer extends Mage_Core_Model_Abstract
     }

     /**
-     * Validate customer attribute values on password reset
+     * Validate customer password on reset
      * @return bool
      */
     public function validateResetPassword()
@@ -916,6 +925,10 @@ class Mage_Customer_Model_Customer extends Mage_Core_Model_Abstract
             $errors[] = Mage::helper('customer')
                 ->__('The minimum password length is %s', self::MINIMUM_PASSWORD_LENGTH);
         }
+        if (!Zend_Validate::is($password, 'StringLength', array('max' => self::MAXIMUM_PASSWORD_LENGTH))) {
+            $errors[] = Mage::helper('customer')
+                ->__('Please enter a password with at most %s characters.', self::MAXIMUM_PASSWORD_LENGTH);
+        }
         $confirmation = $this->getPasswordConfirmation();
         if ($password != $confirmation) {
             $errors[] = Mage::helper('customer')->__('Please make sure your passwords match.');

EEエディションの場合追加の4つのファイルを追加

app/code/community/OnTap/Merchandiser/Block/Adminhtml/Catalog/Product/List.php
app/design/adminhtml/default/default/template/merchandiser/smartmerch/tab.phtml
app/design/frontend/rwd/enterprise/template/giftcardaccount/onepage/payment/scripts.phtml
app/design/frontend/enterprise/default/template/giftcardaccount/onepage/payment/scripts.phtml

EEのいくつかの重要な点

以下のファイルに条件を追加しました

app/design/frontend/rwd/enterprise/template/giftcardaccount/onepage/payment/scripts.phtml 
  app/design/frontend/enterprise/default/template/giftcardaccount/onepage/payment/scripts.phtml

テーマファイルの以下の条件を更新してください。

if (elements[i].name == 'form_key') 
{
                continue;
 }

詳細については:

https://magento.com/security/patches/supee-10415 http://devdocs.magento.com/guides/m1x/ce19-ee114/ee1.14_release-notes.html#ee114-11436 http:// devdocs。 magento.com/guides/m1x/ce19-ee114/ce1.9_release-notes.html#ce19-1936


SUPEE-10415を適用した後、フロントエンドとバックエンドの両方で404エラーが発生しましたが、この問題を解決するにはどうすればよいですか? magento.stackexchange.com/q/215620/57334
zus

別のチケットを作成し、エラーログで説明し、コメントを追加していただけますか。.htaccessによるこの問題、またはローカルのモジュールのオーバーライド。
ラマチャンドランM


20

SUPEE-10415 ...

  1. 次の領域における管理パネルのXSSの問題を解決します。

    • 製品レビューレポート
    • 製品タグレポート
    • 製品レビューの追加/編集インターフェイス
    • 課金契約
    • xmlconnectコンテンツエディタータブ
    • シリアル化されたルール
  2. システムおよび例外ログファイルに使用できるファイル拡張子を制限します。ファイル拡張子可:.log.txt.html.csv

  3. 顧客アカウントのパスワードに256文字の上限を設定します。この特定の変更はばかげています。彼らがこの明るいアイデアをどこから得たのかわからない。

これらの変更は、おそらく顧客のパスワードの長さの制限を除いて、大きな破壊的または後方互換性のない変更ではないようです。


9
256パスワードの長さは、実際にはパッチが適用されていないMagentoのバグです。データベースのパスワードフィールドは、maxlength = 255であるcustomer_entity_varchar.valueにあるためです。
リッキーオーディンマシューズ

12
あなたは正しいです。customer_entity_varchar.valueの列サイズは制限されています。ただし、パスワードはその列に保存されないため、バグではありません。塩漬けし、ハッシュされたパスワードが保存されています。この値は、元のパスワードのサイズに関係なく、常に固定長になります。このパッチがリリースされる前は、255文字を超えるパスワードを入力しても問題はまったくありませんでした。
T-リチャーズ

3
パスワードの長さの変更は、APPSEC-1330と関係があると思います。magento.com/security/patches/supee-10415
準オブジェクト

7
おそらくこれは彼らの考えです、ロブ:stackoverflow.com/a/98857/8199523
RickyMage123

1
@ t-richardsの素晴らしい点、あなたはまさにそこにいます。なぜあなたは彼らがそれをやると思うだろう、私は多分長いパスワードをハッシュするとCPU使用率の観点からDoS問題を引き起こすかもしれないと考えている。
リッキーオーディンマシューズ

12

SUPEE 10415には8788 v2パッチが必要

以前の投稿と同じエラーが発生しましたが、削除されたようです。

a:5:{i:0;s:23:"Unsupported data type N";i:1;s:2942:"#0 /chroot/home/mywebroot/html/lib/Unserialize/Reader/Arr.php(102): Unserialize_Reader_ArrValue->  read('N', ';')
#1 /chroot/home/mywebroot/html/lib/Unserialize/Parser.php(53): Unserialize_Reader_Arr->read('N', ';')
#2 /chroot/home/mywebroot/html/app/code/core/Mage/Core/Helper/UnserializeArray.php(44): Unserialize_Parser->unserialize('a:6:{s:4:"type"...')
#3 /chroot/home/mywebroot/html/app/code/core/Mage/Rule/Model/Abstract.php(179): Mage_Core_Helper_UnserializeArray->unserialize('a:6:{s:4:"type"...')
#4 /chroot/home/mywebroot/html/app/code/core/Mage/Rule/Model/Abstract.php(353): Mage_Rule_Model_Abstract->getConditions()
#5 /chroot/home/mywebroot/html/app/code/core/Mage/SalesRule/Model/Validator.php(216): Mage_Rule_Model_Abstract->validate(Object(   Mage_Sales_Model_Quote_Address))
#6 /chroot/home/mywebroot/html/app/code/core/Mage/SalesRule/Model/Validator.php(242): Mage_SalesRule_Model_Validator->_canProcessRule(Object(  Mage_SalesRule_Model_Rule), Object(Mage_Sales_Model_Quote_Address))
#7 /chroot/home/mywebroot/html/app/code/core/Mage/SalesRule/Model/Quote/Freeshipping.php(74): Mage_SalesRule_Model_Validator->processFreeShipping(Object(  Mage_Sales_Model_Quote_Item))
#8 /chroot/home/mywebroot/html/app/code/core/Mage/Sales/Model/Quote/Address.php(1013): Mage_SalesRule_Model_Quote_Freeshipping->collect(Object(    Mage_Sales_Model_Quote_Address))
#9 /chroot/home/mywebroot/html/app/code/core/Mage/Sales/Model/Quote.php(1331): Mage_Sales_Model_Quote_Address->collectTotals()
#10 /chroot/home/mywebroot/html/app/code/core/Mage/Checkout/Model/Cart.php(458): Mage_Sales_Model_Quote->collectTotals()
#11 /chroot/home/mywebroot/html/app/code/core/Mage/Checkout/controllers/CartController.php(127): Mage_Checkout_Model_Cart->save()
#12 /chroot/home/mywebroot/html/app/code/core/Mage/Core/Controller/Varien/Action.php(418): Mage_Checkout_CartController->indexAction()
#13 /chroot/home/mywebroot/html/app/code/core/Mage/Core/Controller/Varien/Router/Standard.php(254): Mage_Core_Controller_Varien_Action->dispatch('index')
#14 /chroot/home/mywebroot/html/app/code/core/Mage/Core/Controller/Varien/Front.php(172): Mage_Core_Controller_Varien_Router_Standard->match(Object(   Mage_Core_Controller_Request_Http))
#15 /chroot/home/mywebroot/html/app/code/core/Mage/Core/Model/App.php(354): Mage_Core_Controller_Varien_Front->dispatch()
#16 /chroot/home/mywebroot/html/app/Mage.php(683): Mage_Core_Model_App->run(Array)
#17 /chroot/home/mywebroot/html/index.php(96): Mage::run('', 'store')
#18 {main}";s:3:"url";s:15:"/checkout/cart/";s:11:"script_name";s:10:"/index.php";s:4:"skin";s:7:"default";}

M 1.8.00 CEに新しいパッチをインストールしたときに上記のエラーが発生しました特定の原因は、8788のv2パッチが原因で、そのパッチの大部分の問題を手動で修正したためと思われますが、非シリアル化部分が見つかりませんでした。

パッチを元に戻す代わりに、手動で変更を加えたところ、サイトは正常に機能しています。

以下に8788パッチのコードがあります

diff --git lib/Unserialize/Parser.php lib/Unserialize/Parser.php
index 423902a..2c01684 100644
--- lib/Unserialize/Parser.php
+++ lib/Unserialize/Parser.php
@@ -34,6 +34,7 @@ class Unserialize_Parser
     const TYPE_DOUBLE = 'd';
     const TYPE_ARRAY = 'a';
     const TYPE_BOOL = 'b';
+    const TYPE_NULL = 'N';

     const SYMBOL_QUOTE = '"';
     const SYMBOL_SEMICOLON = ';';

diff --git lib/Unserialize/Reader/Arr.php lib/Unserialize/Reader/Arr.php
index caa979e..cd37804 100644
--- lib/Unserialize/Reader/Arr.php
+++ lib/Unserialize/Reader/Arr.php
@@ -101,7 +101,10 @@ class Unserialize_Reader_Arr
         if ($this->_status == self::READING_VALUE) {
             $value = $this->_reader->read($char, $prevChar);
             if (!is_null($value)) {
-                $this->_result[$this->_reader->key] = $value;
+                $this->_result[$this->_reader->key] =
+                    ($value == Unserialize_Reader_Null::NULL_VALUE && $prevChar == Unserialize_Parser::TYPE_NULL)
+                        ? null
+                        : $value;
                 if (count($this->_result) < $this->_length) {
                     $this->_reader = new Unserialize_Reader_ArrKey();
                     $this->_status = self::READING_KEY;

diff --git lib/Unserialize/Reader/ArrValue.php lib/Unserialize/Reader/ArrValue.php
index d2a4937..c6c0221 100644
--- lib/Unserialize/Reader/ArrValue.php
+++ lib/Unserialize/Reader/ArrValue.php
@@ -84,6 +84,10 @@ class Unserialize_Reader_ArrValue
                     $this->_reader = new Unserialize_Reader_Dbl();
                     $this->_status = self::READING_VALUE;
                     break;
+                case Unserialize_Parser::TYPE_NULL:
+                    $this->_reader = new Unserialize_Reader_Null();
+                    $this->_status = self::READING_VALUE;
+                    break;
                 default:
                     throw new Exception('Unsupported data type ' . $char);
             }

diff --git lib/Unserialize/Reader/Null.php lib/Unserialize/Reader/Null.php
new file mode 100644
index 0000000..93c7e0b
--- /dev/null
+++ lib/Unserialize/Reader/Null.php
@@ -0,0 +1,64 @@
+<?php
+/**
+ * Magento
+ *
+ * NOTICE OF LICENSE
+ *
+ * This source file is subject to the Open Software License (OSL 3.0)
+ * that is bundled with this package in the file LICENSE.txt.
+ * It is also available through the world-wide-web at this URL:
+ * http://opensource.org/licenses/osl-3.0.php
+ * If you did not receive a copy of the license and are unable to
+ * obtain it through the world-wide-web, please send an email
+ * to license@magento.com so we can send you a copy immediately.
+ *
+ * DISCLAIMER
+ *
+ * Do not edit or add to this file if you wish to upgrade Magento to newer
+ * versions in the future. If you wish to customize Magento for your
+ * needs please refer to http://www.magento.com for more information.
+ *
+ * @category    Unserialize
+ * @package     Unserialize_Reader_Null
+ * @copyright  Copyright (c) 2006-2016 X.commerce, Inc. and affiliates (http://www.magento.com)
+ * @license    http://opensource.org/licenses/osl-3.0.php  Open Software License (OSL 3.0)
+ */
+
+/**
+ * Class Unserialize_Reader_Null
+ */
+class Unserialize_Reader_Null
+{
+    /**
+     * @var int
+     */
+    protected $_status;
+
+    /**
+     * @var string
+     */
+    protected $_value;
+
+    const NULL_VALUE = 'null';
+
+    const READING_VALUE = 1;
+
+    /**
+     * @param string $char
+     * @param string $prevChar
+     * @return string|null
+     */
+    public function read($char, $prevChar)
+    {
+        if ($prevChar == Unserialize_Parser::SYMBOL_SEMICOLON) {
+            $this->_value = self::NULL_VALUE;
+            $this->_status = self::READING_VALUE;
+            return null;
+        }
+
+        if ($this->_status == self::READING_VALUE && $char == Unserialize_Parser::SYMBOL_SEMICOLON) {
+            return $this->_value;
+        }
+        return null;
+    }
+}

また、この投稿からエラーについての詳細を読むことができますSOLVED:新しいUnserialize_ParserクラスはNULL値で例外をスローします


ああ!問題を防ぐには8788 V2が必要です!
アイコン

ウェブサイトのどのページで「サポートされていないデータ型」エラーが表示されたか教えてください。複製しようとしています。
アイコン

製品がカートに入っている間に、カテゴリページと製品ページとカートでトリガーすることができました。
danmentzer

@danmentzerどうすればエラーを解決できますか、パッチ9767 v1を元に戻す::エラー:justpaste.it/1e9pn
zus

@zusあなたの投稿を見たところ、ペーストの外観からこれを把握できたのか、エラーの原因として考えられる3つの異なる原因を推測します。1.パッチのバージョンが間違っている(これが最も可能性が低い)2.パッチはすでに適用されていません。3.それらのいくつかを手動で修正したかもしれませんが、パッチはあなたがそれをどのようにしたか気に入らないでしょう。これが
役に立た

11

このパッチに問題があり、サイトのすべてのページでerrors/ディレクトリから「404:Page Not Found」エラーが表示され始めました。それを掘る少しは、それがで発行されたPHPの警告によって引き起こされたが判明した後Mage_Core_Model_App::init、その後発生し、Mage_Core_Model_Store_Exceptionパッチから次の行では:

diff --git app/Mage.php app/Mage.php
index 566027d..165928d 100644
--- app/Mage.php
+++ app/Mage.php
@@ -805,7 +805,12 @@ final class Mage
         static $loggers = array();

         $level  = is_null($level) ? Zend_Log::DEBUG : $level;
-        $file = empty($file) ? 'system.log' : $file;
+        $file = empty($file) ? 'system.log' : basename($file);
+
+        // Validate file extension before save. Allowed file extensions: log, txt, html, csv
+        if (!self::helper('log')->isLogFileExtensionValid($file)) {
+            return;
+        }

         try {
             if (!isset($loggers[$file])) {
  1. ストアが初期化される前にPHP警告が発生します
  2. 警告は、メッセージをログファイルに記録するためのmageCoreErrorHandler()呼び出しによって取得されMage::log()ます。
  3. Mage::log() 呼び出します Mage::helper('log')
  4. Mage_Log_Helper_Data::__constructを呼び出しますがMage::getStoreConfig()、を呼び出しますMage::app()->getStore()が、ストアはまだ初期化されておらず、Mage_Core_Model_Store_Exceptionがスローされます
  5. app/Mage.php:647 例外をキャッチし、404ページを返します

ログファイルの拡張子を確認するときに警告を修正したり例外をキャッチしたりする以外は、解決策が何であるかはまだわかりません。これをMagentoに報告して、彼らの考えを確認します。


使用しているバージョンは何ですか?
アイコン

1
@アイコン1.9.3.6。一部の最新ではないプロジェクトにはの__construct()メソッドMage_Log_Helper_Dataがないため、この影響を受けませんが、最新のコミュニティエディションとエンタープライズエディションの両方にあることに気付きました。
トマスゲルラチス

magentoがこの質問に対処したように見えますdevdocs.magento.com/guides/m1x/ce19-ee114/…–
アイコン

magentoは、次のパッチでこの問題を修正する予定かどうかについて言及しましたか?
アイコン

1
@Icon問題はMagentoの設定の初期化中に発生したため、管理者とフロントエンドでエラーが発生しました。
トマスゲルラチス

8

1.解決済み:ユーザーが管理者をロードするときの無効な秘密鍵の問題

このパッチでは、Magentoは“Invalid Secret Key. Please refresh the page.” message when a user loads the Admin

でコードを変更することにより

app/code/core/Mage/Adminhtml/Controller/Action.php

すべての顧客のパスワードを最大256文字に制限します。

我々はすでにその知っているMagentoの1.xのパスワードの最小の長さは6であります

しかし、このパッチでは、magentoは最大長を256に制限しています。

この場合、Magentoのは、行っている変更の機能でvalidate()顧客モデルクラス誰もがしている場合は、。だからのクラスをオーバーライドしても、彼らは上のコードの下に追加する必要があります上書きthat override class

if (strlen($password) && !Zend_Validate::is($password, 'StringLength', array('max' => self::MAXIMUM_PASSWORD_LENGTH))) {
   $errors[] = Mage::helper('customer')
       ->__('Please enter a password with at most %s characters.', self::MAXIMUM_PASSWORD_LENGTH);
}

$this->escapeHtml()XSS攻撃が可能ないくつかのファイルに対して、Mage :: helper( 'core')-> quoteEscape()を追加してください

誰かがこれらのファイルをオーバーライドする場合、以下のコードをrepecievオーバーライドクラス 1.app/code/core/Mage/Adminhtml/Block/Report/Review/Detail.phpに追加する必要があります

取り替える

$ this-> _ headerText = Mage :: helper( 'reports')-> __( '%s for Review's、$ product-> getName());

$ this-> _ headerText = Mage :: helper( 'reports')-> __( '%s for%s'、$ this-> escapeHtml($ product-> getName()));

2. app / code / core / Mage / Adminhtml / Block / Report / Tag / Product / Detail.php

取り替える

$ this-> _ headerText = Mage :: helper( 'reports')-> __( 'Tags submit to%s'、$ product-> getName());

$this->_headerText = Mage::helper('reports')->__('Tags submitted to %s', $this->escapeHtml($product->getName()));

3. app / code / core / Mage / Adminhtml / Block / Review / Edit / Form.php

取り替える

'text' => '<a href="' . $this->getUrl('*/catalog_product/edit', array('id' => $product->getId())) . '" onclick="this.target=\'blank\'">' . $product->getName() . '</a>'

'text' => '<a href="' . $this->getUrl('*/catalog_product/edit', array('id' => $product->getId())) . '" onclick="this.target=\'blank\'">' . $this->escapeHtml($product->getName()) . '</a>'

  1. 受注ビュー請求は同意します:app / design / adminhtml / default / default / template / sales / billing / agreement / view / tab / info.phtml

取り替える

<?php echo $this->getCustomerEmail() ?>

<?php echo $this->escapeHtml($this->getCustomerEmail()) ?>

  1. app / design / adminhtml / default / default / template / xmlconnect / edit / tab / content.phtml by Mage :: helper( 'core')-> quoteEscape

取り替える

this.pageOptions += '<option value="<?php echo $helper->jsQuoteEscape($page['value']) ?>"><?php echo $helper->jsQuoteEscape($page['label']) ?></option>';

$this.pageOptions += '<option value="<?php echo $helper->jsQuoteEscape($page['value']) ?>"><?php echo $helper->quoteEscape($page['label']) ?></option>';

  1. app / design / adminhtml / default / default / template / xmlconnect / edit / tab / design / image_edit.phtml by Mage :: helper( 'core')-> quoteEscape

取り替える

<option value="<?php echo $page['value']; ?>"><?php echo $page['label']; ?></option>

<option value="<?php echo $page['value']; ?>"><?php echo Mage::helper('core')->quoteEscape($page['label']); ?></option>


4
ありがとう@Amit私はansで「解決済み:無効な秘密鍵の問題」を見逃していました:)。+1
ラマチャンドランM

1
あなたは歓迎します:)...あなたはこの質問で良い仕事をしました
Amit Bera

7

すでにSUPEE-10358 ^を適用した場合、またはapp/code/core/Mage/Adminhtml/Controller/Action.php無効な秘密鍵」問題に対して手動でパッチを適用した場合、パッチファイルからそのセクションを手動で削除する必要があります。

diff --git app/code/core/Mage/Adminhtml/Controller/Action.php app/code/core/Mage/Adminhtml/Controller/Action.php
index 2a8e63f..f2ee208 100644
--- app/code/core/Mage/Adminhtml/Controller/Action.php
+++ app/code/core/Mage/Adminhtml/Controller/Action.php
@@ -186,7 +186,7 @@ class Mage_Adminhtml_Controller_Action extends Mage_Core_Controller_Varien_Actio
                 'message' => $_keyErrorMsg
             )));
         } else {
-                if ($_keyErrorMsg != ''){
+                if (!$_isValidFormKey){
                 Mage::getSingleton('adminhtml/session')->addError($_keyErrorMsg);
             }
             $this->_redirect( Mage::getSingleton('admin/session')->getUser()->getStartupPageUrl() );

さらに、「new-pawwsord」タイプミス(SUPEE-10266で導入) をすでに修正している場合app/design/adminhtml/default/default/template/backup/dialogs.phtmlは、パッチからそのセクションも削除します。

diff --git app/design/adminhtml/default/default/template/backup/dialogs.phtml app/design/adminhtml/default/default/template/backup/dialogs.phtml
index c5a3f82..2ff57cc 100644
--- app/design/adminhtml/default/default/template/backup/dialogs.phtml
+++ app/design/adminhtml/default/default/template/backup/dialogs.phtml
@@ -158,7 +158,7 @@
                             <td class="value">
                                 <!-- This is a dummy hidden field to trick firefox from auto filling the password -->
                                 <input type="password" class="input-text no-display" name="dummy" id="dummy" />

-                                    <input type="password" name="ftp_pass" id="ftp_pass" autocomplete="new-pawwsord">
+                                    <input type="password" name="ftp_pass" id="ftp_pass" autocomplete="new-password">
                             </td>
                         </tr>
                         <tr>

^ MageSupportは、InvalidSecretKeyの問題に関するEEサポートチケットへの応答としてSUPEE-10358を提供しました


5

問題:バニラ1.9.1.1でパッチが機能しない

編集1:以下に修正を追加。

編集2:私の修正は不要になり、MagentoはSUPEE-10497を提供しましたこの問題を修正するを。

問題:

# file: PATCH_SUPEE-10415_CE_1.9.1.1_v1-2017-11-27-05-47-08.sh
Checking if patch can be applied/reverted successfully...
ERROR: Patch can't be applied/reverted successfully.

checking file app/Mage.php
checking file app/code/core/Mage/Adminhtml/Block/Report/Review/Detail.php
checking file app/code/core/Mage/Adminhtml/Block/Report/Tag/Product/Detail.php
checking file app/code/core/Mage/Adminhtml/Block/Review/Add.php
checking file app/code/core/Mage/Adminhtml/Block/Review/Edit/Form.php
checking file app/code/core/Mage/Adminhtml/Controller/Action.php
checking file app/code/core/Mage/Adminhtml/Model/LayoutUpdate/Validator.php
checking file app/code/core/Mage/Adminhtml/Model/System/Config/Backend/Filename.php
checking file app/code/core/Mage/Api/Helper/Data.php
checking file app/code/core/Mage/Api/Model/Server/Adapter/Soap.php
checking file app/code/core/Mage/Api/Model/Wsdl/Config.php
checking file app/code/core/Mage/Api/Model/Wsdl/Config/Base.php
checking file app/code/core/Mage/Core/Helper/String.php
checking file app/code/core/Mage/Core/Model/File/Validator/Image.php
Hunk #1 FAILED at 90.
1 out of 1 hunk FAILED
checking file app/code/core/Mage/Core/etc/config.xml
checking file app/code/core/Mage/Core/etc/system.xml
Hunk #1 succeeded at 651 (offset 1 line).
Hunk #2 succeeded at 661 (offset 1 line).
checking file app/code/core/Mage/Customer/Model/Customer.php
checking file app/code/core/Mage/Eav/Model/Entity/Attribute/Backend/Serialized.php
checking file app/code/core/Mage/Log/Helper/Data.php
checking file app/code/core/Mage/Rule/Model/Abstract.php
checking file app/code/core/Mage/Sales/Block/Adminhtml/Billing/Agreement/Grid.php
checking file app/code/core/Zend/Form/Decorator/Form.php
checking file app/design/adminhtml/default/default/template/backup/dialogs.phtml
checking file app/design/adminhtml/default/default/template/sales/billing/agreement/view/tab/info.phtml
checking file app/design/adminhtml/default/default/template/xmlconnect/edit/tab/content.phtml
checking file app/design/adminhtml/default/default/template/xmlconnect/edit/tab/design/image_edit.phtml
checking file app/locale/en_US/Mage_Adminhtml.csv
checking file app/locale/en_US/Mage_Customer.csv
checking file js/mage/adminhtml/backup.js
checking file lib/Varien/Filter/FormElementName.php

バニラMagento 1.9.1.1はhttps://github.com/OpenMage/magento-mirror/archive/1.9.1.1.tar.gzからダウンロードされました

このMagento 1.9.1.1に以前に適用されたパッチ:

2017-11-29 07:37:12 UTC | SUPEE-5994 | CE_1.6.0.0 | v1 | _ | n/a | SUPEE-5994_CE_1.6.0.0_v1.patch
2017-11-29 07:37:12 UTC | SUPEE-6237 | EE_1.14.2.0 | v1 | 8b216c42e2e5d2cb5d8e500fcb6690abede9df52 | Fri Jun 12 13:39:59 2015 +0300 | v1.14.2.0..HEAD
2017-11-29 07:37:12 UTC | SUPEE-6285 | CE_1.9.1.1 | v2 | 7226d88b1eeb07a5fbc4e62be189a5219457cc14 | Mon Jun 22 16:32:26 2015 +0300 | 202596e441..7226d88b1e
2017-11-29 07:37:12 UTC | SUPEE-6482 | CE_1.9.2.0 | v1 |  | Tue Jul 14 14:17:04 2015 +0300 |
2017-11-29 07:37:12 UTC | SUPEE-6788 | CE_1.9.1.1 | v1 | 2349a68440e870cd68dfa81fb982f3b7a42cd099 | Fri Oct 23 14:49:16 2015 +0300 | b240663
2017-11-29 07:37:12 UTC | SUPEE-7405-CE-1-9-1-1 | CE_1.9.1.1 | v1 | f1c57f70de3fc2bea64bbe3ddf3bdf076b750f8e | Tue Jan 19 15:29:35 2016 +0200 | 2349a68440..f1c57f70de
2017-11-29 07:37:12 UTC | SUPEE-7405 | CE_1.9.1.1 | v1.1 | 38d673b4d2b132c6df53becc9d92346aa5d9627e | Fri Feb 5 13:28:39 2016 +0200 | f1c57f70de3fc2bea64bbe3ddf3bdf076b750f8e..38d673b4d2b132c6df53becc9d92346aa5d9627e
2017-11-29 07:37:12 UTC | SUPEE-7616 | CE_1.9.2.2-CE_1.8.0.0 | v1 | 1609c0d0be86473d357346fa51f93c12b365d7a1 | Tue Dec 8 12:53:31 2015 +0200 | e1fc3c59c9587427b8a9c88655715f27afbfe970..1609c0d0be86473d357346fa51f93c12b365d7a1
2017-11-29 07:37:12 UTC | SUPEE-8167 | EE_1.14.2.0 | v1 | 87bb97f9b0b2871f842b7faabf667a81806f937e | Thu Apr 27 13:31:21 2017 +0300 | 6010eb82..87bb97f9b
2017-11-29 07:37:12 UTC | SUPEE-8788 | CE_1.9.1.1 | v2 | 8d9fad1daf5131de3430ef09b0816d3d133c8412 | Mon Sep 26 14:06:18 2016 +0300 | 38d673b4d2..8d9fad1daf
2017-11-29 07:37:12 UTC | SUPEE-8967 | EE_1.13.1.0 | v1 | 1fa53e9533f6f3a16f24d9b64dabef0ab7f965d7 | Thu Aug 18 16:32:48 2016 +0300 | 97d160644..1fa53e9533
2017-11-29 07:37:13 UTC | SUPEE-9652 | EE_1.14.3.1 | v1 | 4038f0785d828794083f53f10c01aaa6af403523 | Tue Jan 24 15:03:12 2017 +0200 | 9586981e6ca8b255014b242d50b68b88525b0754..4038f0785d828794083f53f10c01aaa6af403523
2017-11-29 07:37:13 UTC | PATCH_SUPEE-9767_CE_1.9.3.0_v2 | CE_1.9.3.0 | v2 | 6566db274beaeb9bcdb56a62e02cc2da532e618c | Thu Jun 22 04:30:03 2017 +0300 | v1.14.3.3..HEAD
2017-11-29 07:37:13 UTC | SUPEE-10336_v1.14.2.4 | CE_1.9.2.4 | v1 | 721708ecf41f0ee745b8f441a4bfe56471b493a7 | Fri Sep 8 17:55:44 2017 +0300 | cc0d87..721708e
2017-11-29 07:37:13 UTC | SUPEE-10266-CE-1.9.1.1 | CE_1.9.1.1 | v1 | f66c6bcd3c16c5ca934823e6a91b5696698e497c | Fri Sep 1 12:15:53 2017 +0300 | 8d9fad1daf5131de3430ef09b0816d3d133c8412..HEAD

1.9.1.1のSUPEE-10415パッチの公式修正:

  • インストールした場合SUPEE-10266
    を使用して元に戻します: ./PATCH_SUPEE-10266_CE_1.9.1.1_v1-2017-09-15-04-59-56.sh --revert
  • インストールした場合SUPEE-10415
    を使用して元に戻し ます./PATCH_SUPEE-10415_CE_1.9.1.1_v1-2017-11-27-05-47-08.sh --revert
  • SUPEE-10497を適用します

1.9.1.1のSUPEE-10415パッチの手動修正[非推奨]:

ファイルを編集し、PATCH_SUPEE-10415_CE_1.9.1.1_v1-2017-11-27-05-47-08.sh行を置き換えます445-447

古い:

         $fileInfo = getimagesize($filePath);
         if (is_array($fileInfo) and isset($fileInfo[2])) {
             if ($this->isImageType($fileInfo[2])) {

新しい:

         list($imageWidth, $imageHeight, $fileType) = getimagesize($filePath);
         if ($fileType) {
             if ($this->isImageType($fileType)) {

私もこれを経験しています。の問題のようapp/code/core/Mage/Core/Model/File/Validator/Image.phpです。パッチSUPEE-10415は、パッチSUPEE-9767(v1またはv2)による変更を考慮していないよう
です-wr125

1
答えの最後に修正を追加しました。
イェルーンバーミューレン- MageHost

1
私は同意しません。github.com/OpenMage/magento-mirror/archive/1.9.2.2.tar.gzからバニラインストールを行い、次の順序でパッチを適用できました。SUPEE-7405-CE-1-9-2-2| CE_1.9.2.2 | v1、SUPEE-7405 | CE_1.9.2.2 | v1.1、SUPEE-7616 | CE_1.9.2.2-CE_1.8.0.0 | v1、SUPEE-8167 | EE_1.14.2.0 | v1、SUPEE-8788 | CE_1.9.2.2 | v2、SUPEE-8967 | EE_1.13.1.0 | v1、SUPEE-9652 | EE_1.14.3.1 | v1、PATCH_SUPEE-9767_CE_1.9.3.0_v2 | CE_1.9.3.0 | v2、SUPEE-10336_v1.14.2.4 | CE_1.9.2.4 | v1、SUPEE-10266-CE-1.9.2.4 | CE_1.9.2.4 | v1、SUPEE-10415-ce-1.9.2.2 | CE_1.9.2.2 | v1
Jeroen Vermeulen-MageHost

1
以前のパッチをすべて適用する必要があります。以前のコメントを参照してください。私はそれをテストしました。
イェルーンバーミューレン- MageHost

4
代わりにSUPEE-10497を使用してください。1.9.1.1でこの問題に対処するためにリリースされたばかりです。このパッチをインストールする前にSUPEE-10266を削除する必要があるため、リリースノートをお読みください。
ピョートルカミンスキー

3

完全な変更ログと、この変更ログで理解できることを次に示します。

そして、どのファイルがどの原因によって影響を受けたかを以下にリストします

Htmlの変更をエスケープする

ファイル

app/code/core/Mage/Adminhtml/Block/Report/Review/Detail.php
app/code/core/Mage/Adminhtml/Block/Report/Tag/Product/Detail.php
app/code/core/Mage/Adminhtml/Block/Review/Add.php
app/code/core/Mage/Adminhtml/Block/Review/Edit/Form.php
app/code/core/Mage/Sales/Block/Adminhtml/Billing/Agreement/Grid.php
app/design/adminhtml/default/default/template/sales/billing/agreement/view/tab/info.phtml
app/design/adminhtml/default/default/template/xmlconnect/edit/tab/content.phtml
app/design/adminhtml/default/default/template/xmlconnect/edit/tab/design/image_edit.phtml
js/mage/adminhtml/backup.js

代わりにDSを追加 '/'

app/code/core/Mage/Adminhtml/Model/LayoutUpdate/Validator.php

新しいファイルが追加されました

app/code/core/Zend/Form/Decorator/Form.php
lib/Varien/Filter/FormElementName.php

完全な変更ファイル

app / code / core / Mage / Adminhtml / Model / System / Config / Backend / Filename.php

 class Mage_Adminhtml_Model_System_Config_Backend_Filename extends Mage_Core_Model_Config_Data
 {
+
+ /**
+ * Config path for system log file.
+ */
+ const DEV_LOG_FILE_PATH = 'dev/log/file';
+
+ /**
+ * Config path for exception log file.
+ */
+ const DEV_LOG_EXCEPTION_FILE_PATH = 'dev/log/exception_file';
+
+ /**
+ * Processing object before save data
+ *
+ * @return Mage_Adminhtml_Model_System_Config_Backend_Filename
+ * @throws Mage_Core_Exception
+ */
 protected function _beforeSave()
 {
- $value = $this->getValue();
- $value = basename($value);
+ $value = $this->getValue();
+ $configPath = $this->getPath();
+ $value = basename($value);
+
+ // if dev/log setting, validate log file extension.
+ if ($configPath == self::DEV_LOG_FILE_PATH || $configPath == self::DEV_LOG_EXCEPTION_FILE_PATH) {
+ if (!Mage::helper('log')->isLogFileExtensionValid($value)) {
+ throw Mage::exception('Mage_Core', Mage::helper('adminhtml')->__
+ ('Invalid file extension used for log file. Allowed file extensions: log, txt, html, csv'));
+ }
+ }
+
     $this->setValue($value);
     return $this;
 }

メソッドgetCacheId()およびgetServiceUrl()が追加されました

app/code/core/Mage/Api/Helper/Data.php

メソッドunserialize()を追加しました

app/code/core/Mage/Core/Helper/String.php

app / code / core / Mage / Api / Helper / Data.phpに作成されたgetServiceUrl()メソッドを使用します

app/code/core/Mage/Api/Model/Server/Adapter/Soap.php
app/code/core/Mage/Api/Model/Wsdl/Config/Base.php

app / code / core / Mage / Api / Helper / Data.phpに作成されたgetCacheId()メソッドを使用します

app/code/core/Mage/Api/Model/Wsdl/Config.php

unserialize()app / code / core / Mage / Core / Helper / String.phpで作成された上記のメソッドで使用されます

app/code/core/Mage/Eav/Model/Entity/Attribute/Backend/Serialized.php
app/code/core/Mage/Rule/Model/Abstract.php

コメントの変更

app/code/core/Mage/Core/Model/File/Validator/Image.php
app/code/core/Mage/Core/etc/system.xml

コメントを追加しました

app/code/core/Mage/Core/etc/config.xml

最大パスワード長を追加

app/code/core/Mage/Customer/Model/Customer.php

許可ファイル拡張子 // $ _ allowedFileExtensions = array( 'log'、 'txt'、 'html'、 'csv');を追加しました

app/code/core/Mage/Log/Helper/Data.php

何が変わるかわからない

app/design/adminhtml/default/default/template/backup/dialogs.phtml

課題リスト

SUPEE-10415によるバスケット制御の防止

magentoのPayPalで#10415のエラーコードを取得


1

Magento EE 1.13.0.2でこれを試してみると、SUPEE-6482がインストールされている場合、このパッチはうまく動作しないようです。

Checking patch app/code/core/Mage/Api/Model/Server/Adapter/Soap.php...
error: while searching for:
            ->setUseSession(false);

        $wsdlUrl = $params !== null
            ? $urlModel->getUrl('*/*/*', array('_current' => true, '_query' => $params))
            : $urlModel->getUrl('*/*/*');

        if( $withAuth ) {
            $phpAuthUser = $this->getController()->getRequest()->getServer('PHP_AUTH_USER', false);

error: patch failed: app/code/core/Mage/Api/Model/Server/Adapter/Soap.php:205

SUPEE-6482は次の行を変更し$phpAuthUserました

$phpAuthUser = rawurlencode($this->getController()->getRequest()->getServer('PHP_AUTH_USER', false));

$phpAuthUser線が異なっていただけでなく、前の間隔->setUseSession(false);も間違っていました
-DanCarlyon
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.