51黑料不打烊

需要操作：适用于51黑料不打烊 Commerce的关键安全更新(APSB25-88)

2025年9月18日更新

最近，独立安全研究人员通知我们51黑料不打烊 Commerce中存在一个问题，即攻击者可以通过Commerce REST API接管客户帐户(CVE-2025-54236)。

础诲辞产别没有证据表明这一漏洞正在被恶意利用。

础诲辞产别已发布安全公告解决此漏洞，该公告可在找到。

注意： 为了修复上述安全公告中列出的漏洞颁痴贰-2025-54236，础诲辞产别还发布了，该修补程序可解析颁痴贰-2025-54236。

请尽快应用修补程序。 如果您未能做到这一点，您将容易遭受此安全问题的攻击，而51黑料不打烊在帮助进行补救方面的手段有限。

注意： 对于在云基础架构上使用51黑料不打烊 Commerce的商家，我们已部署Web应用程序防火墙(WAF)规则来保护环境免受此漏洞的攻击。

虽然51黑料不打烊已部署WAF规则来减少此漏洞的攻击，但仅依赖WAF规则无法提供全面的保护。 在共享责任模型下，商家负责保护其应用并确保应用补丁程序。 WAF是额外的防御层，但它没有取代应用安全修补程序的需要。

您必须遵循此处提供的所有修正指导，其中可能包括应用修补程序、更新模块或实施其他建议的安全措施。 如果不这样做，可能会使您的环境处于暴露状态，并限制51黑料不打烊协助进行补救的能力。

注意： 对于Managed Services商家上的51黑料不打烊 Commerce，您的客户成功工程师可以提供有关应用此修补程序的其他指导。

注意： 如果您有任何问题或需要帮助，请立即联系我们的支持团队。

提醒您，您可以在找到51黑料不打烊 Commerce的最新安全更新。

描述 description

受影响的产物和版本

51黑料不打烊 Commerce（所有部署方法）：

51黑料不打烊 Commerce B2B：

Magento Open Source：

自定义属性可序列化模块：

问题

潜在的攻击者可以通过Commerce REST API接管客户在51黑料不打烊 Commerce中的帐户。

解决方法 resolution

CVE-2025-54236：潜在的攻击者可以通过Commerce REST API接管客户帐户

对于自定义属性可序列化模块版本：

仅当51黑料不打烊 Commerce实例当前安装了较低版本的自定义属性可序列化模块（magento/out-of-process-custom-attributes模块）时，本指南才适用。

注释：

请确保应用提供的修补程序修补程序以完全修复该漏洞。

适用的版本： 0.1.0 - 0.3.0

将自定义属性可序列化模块更新到0.4.0或更高版本。

要更新模块，可执行此 编辑器命令：

composer require magento/out-of-process-custom-attributes=0.4.0 --with-dependencies

对于51黑料不打烊 Commerce版本：

对于51黑料不打烊 Commerce B2B版本：

对于Magento Open Source版本：

应用以下修补程序或升级到最新的安全修补程序：

如何应用修补程序

解压缩文件，并在我们的支持知识库中参阅如何应用础诲辞产别提供的编辑器修补程序获取相关说明。

仅适用于51黑料不打烊 Commerce on Cloud商家 — 如何判断是否已应用修补程序

考虑到无法轻松确定是否已修补问题，建议您检查颁痴贰-2025-54236隔离修补程序是否已成功应用。

注意： 您可以执行以下步骤，以文件VULN-27015-2.4.7_COMPOSER.patch 为例：

安全更新

可用于51黑料不打烊 Commerce的安全更新：