SUPEE-10888 es un nuevo parche de seguridad para Magento 1 que aborda 12 problemas de seguridad.

https://magento.com/security/patches/supee-10888

SUPEE-10888, Magento Commerce 1.14.3.10 y Open Source 1.9.3.10 contienen múltiples mejoras de seguridad que ayudan a cerrar las secuencias de comandos entre sitios (XSS), la falsificación de solicitudes entre sitios (CSRF) y otras vulnerabilidades.

El parche se puede encontrar en https://magento.com/tech-resources/download#download2243

¿Qué problemas comunes debe tener en cuenta al aplicar este parche?

Los archivos a continuación se han cambiado / creado después de aplicar el parche

app/code/core/Mage/Admin/Model/User.php 
app/code/core/Mage/Admin/etc/config.xml 
app/code/core/Mage/Adminhtml/Block/Catalog/Product/Edit/Tab/Super/Config.php 
app/code/core/Mage/Adminhtml/Block/Widget/Grid/Massaction/Abstract.php 
app/code/core/Mage/Adminhtml/Model/LayoutUpdate/Validator.php 
app/code/core/Mage/Adminhtml/controllers/Catalog/ProductController.php 
app/code/core/Mage/Adminhtml/controllers/Permissions/UserController.php 
app/code/core/Mage/Adminhtml/etc/config.xml 
app/code/core/Mage/Checkout/Model/Api/Resource/Customer.php 
app/code/core/Mage/Checkout/Model/Type/Onepage.php 
app/code/core/Mage/Cms/Model/Wysiwyg/Images/Storage.php 
app/code/core/Mage/Core/etc/config.xml 
app/code/core/Mage/Core/etc/system.xml 
app/code/core/Mage/Customer/Helper/Data.php 
app/code/core/Mage/Customer/Model/Customer.php 
app/code/core/Mage/Customer/Model/Resource/Customer.php 
app/code/core/Mage/Customer/controllers/AccountController.php 
app/code/core/Mage/Customer/etc/config.xml app/code/core/Mage/Customer/etc/config.xml
app/code/core/Mage/Customer/sql/customer_setup/upgrade-1.6.2.0.6.1.1-1.6.2.0.6.1.2.php 
app/code/core/Mage/Paypal/Model/Express/Checkout.php 
app/code/core/Mage/XmlConnect/controllers/ReviewController.php 
app/code/core/Zend/Filter/PregReplace.php app/code/core/Zend/Filter/PregReplace.php
app/design/adminhtml/default/default/template/bundle/product/edit/bundle/option.phtml 
app/design/adminhtml/default/default/template/bundle/sales/creditmemo/create/items/renderer.phtml 
app/design/adminhtml/default/default/template/bundle/sales/creditmemo/view/items/renderer.phtml 
app/design/adminhtml/default/default/template/bundle/sales/invoice/create/items/renderer.phtml 
app/design/adminhtml/default/default/template/bundle/sales/invoice/view/items/renderer.phtml 
app/design/adminhtml/default/default/template/bundle/sales/order/view/items/renderer.phtml 
app/design/adminhtml/default/default/template/bundle/sales/shipment/create/items/renderer.phtml 
app/design/adminhtml/default/default/template/bundle/sales/shipment/view/items/renderer.phtml 
app/design/adminhtml/default/default/template/catalog/product/helper/gallery.phtml 
app/design/frontend/base/default/template/bundle/email/order/items/creditmemo/default.phtml 
app/design/frontend/base/default/template/bundle/email/order/items/invoice/default.phtml 
app/design/frontend/base/default/template/bundle/email/order/items/order/default.phtml 
app/design/frontend/base/default/template/bundle/email/order/items/shipment/default.phtml 
app/design/frontend/base/default/template/bundle/sales/order/creditmemo/items/renderer.phtml 
app/design/frontend/base/default/template/bundle/sales/order/invoice/items/renderer.phtml 
app/design/frontend/base/default/template/bundle/sales/order/items/renderer.phtml 
app/design/frontend/base/default/template/bundle/sales/order/shipment/items/renderer.phtml 
app/design/frontend/base/default/template/downloadable/checkout/multishipping/item/downloadable.phtml 
app/design/frontend/base/default/template/downloadable/email/order/items/creditmemo/downloadable.phtml 
app/design/frontend/base/default/template/downloadable/email/order/items/invoice/downloadable.phtml 
app/design/frontend/base/default/template/downloadable/email/order/items/order/downloadable.phtml 
app/design/frontend/base/default/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml 
app/design/frontend/base/default/template/downloadable/sales/order/invoice/items/renderer/downloadable.phtml 
app/design/frontend/default/iphone/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml 
app/design/frontend/default/iphone/template/downloadable/sales/order/invoice/items/renderer/downloadable.phtml 
app/design/frontend/default/iphone/template/downloadable/sales/order/items/renderer/downloadable.phtml 
app/design/frontend/rwd/default/template/bundle/email/order/items/creditmemo/default.phtml 
app/design/frontend/rwd/default/template/bundle/email/order/items/invoice/default.phtml 
app/design/frontend/rwd/default/template/bundle/email/order/items/order/default.phtml 
app/design/frontend/rwd/default/template/bundle/email/order/items/shipment/default.phtml 
app/design/frontend/rwd/default/template/bundle/sales/order/items/renderer.phtml 
app/design/frontend/rwd/default/template/downloadable/email/order/items/creditmemo/downloadable.phtml 
app/design/frontend/rwd/default/template/downloadable/email/order/items/invoice/downloadable.phtml 
app/design/frontend/rwd/default/template/downloadable/email/order/items/order/downloadable.phtml 
app/locale/en_US/Mage_Adminhtml.csv app/locale/en_US/Mage_Adminhtml.csv
app/locale/en_US/Mage_Customer.csv app/locale/en_US/Mage_Customer.csv
app/locale/en_US/template/email/account_password_reset_confirmation.html 
app/locale/en_US/template/email/admin_new_user_notification.html 
downloader/Maged/Controller.php downloader/Maged/Controller.php
skin/adminhtml/default/enterprise/images/placeholder/thumbnail.jpg 

En los parches v1 originales con 2018-09-18el nombre del archivo:

File skin/adminhtml/default/enterprise/images/placeholder/thumbnail.jpg: git binary diffs are not supported.

Magento solucionó este problema en silencio lanzando nuevos archivos de parche. Aún así, v1pero con 2018-09-19el nombre del archivo.

Problema con el parche PATCH_SUPEE-10888_CE_v1.9.0.1_v1-2018-09-18-02-54-39.shen Vanilla Magento 1.8.1.0, con todos los parches anteriores instalados:

can't find file to patch at input line 1019
Perhaps you used the wrong -p or --strip option?
The text leading up to this was:
--------------------------
|diff --git app/design/frontend/rwd/default/template/bundle/sales/order/items/renderer.phtml app/design/frontend/rwd/default/template/bundle/sales/order/items/renderer.phtml
|index b1ec5eb0460..ca3e8b32474 100644
|--- app/design/frontend/rwd/default/template/bundle/sales/order/items/renderer.phtml
|+++ app/design/frontend/rwd/default/template/bundle/sales/order/items/renderer.phtml
--------------------------

De hecho, el archivo app/design/frontend/rwd/default/template/bundle/sales/order/items/renderer.phtmlno existe en 1.8.1.0, así que eliminé este cambio del archivo de revisión.

No logré hacerlo con la 2018-09-19versión actualizada del parche. Solo tuvo éxito con el archivo PATCH_SUPEE-10888_CE_v1.8.1.0_v1-2018-09-18-02-54-39después de eliminar también el thumbnail.jpgcambio como se explica en mi comentario en /magento//a/242823/13642

Si está utilizando un tema personalizado y su tema anula cualquiera de los archivos a continuación, entonces debe agregar cambios manualmente en su tema

app/design/frontend/base/default/template/bundle/email/order/items/creditmemo/default.phtml 
app/design/frontend/base/default/template/bundle/email/order/items/invoice/default.phtml 
app/design/frontend/base/default/template/bundle/email/order/items/order/default.phtml 
app/design/frontend/base/default/template/bundle/email/order/items/shipment/default.phtml 
app/design/frontend/base/default/template/bundle/sales/order/creditmemo/items/renderer.phtml 
app/design/frontend/base/default/template/bundle/sales/order/invoice/items/renderer.phtml 
app/design/frontend/base/default/template/bundle/sales/order/items/renderer.phtml 
app/design/frontend/base/default/template/bundle/sales/order/shipment/items/renderer.phtml 
app/design/frontend/base/default/template/downloadable/checkout/multishipping/item/downloadable.phtml 
app/design/frontend/base/default/template/downloadable/email/order/items/creditmemo/downloadable.phtml 
app/design/frontend/base/default/template/downloadable/email/order/items/invoice/downloadable.phtml 
app/design/frontend/base/default/template/downloadable/email/order/items/order/downloadable.phtml 
app/design/frontend/base/default/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml 
app/design/frontend/base/default/template/downloadable/sales/order/invoice/items/renderer/downloadable.phtml 
app/design/frontend/default/iphone/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml 
app/design/frontend/default/iphone/template/downloadable/sales/order/invoice/items/renderer/downloadable.phtml 
app/design/frontend/default/iphone/template/downloadable/sales/order/items/renderer/downloadable.phtml 
app/design/frontend/rwd/default/template/bundle/email/order/items/creditmemo/default.phtml 
app/design/frontend/rwd/default/template/bundle/email/order/items/invoice/default.phtml 
app/design/frontend/rwd/default/template/bundle/email/order/items/order/default.phtml 
app/design/frontend/rwd/default/template/bundle/email/order/items/shipment/default.phtml 
app/design/frontend/rwd/default/template/bundle/sales/order/items/renderer.phtml 
app/design/frontend/rwd/default/template/downloadable/email/order/items/creditmemo/downloadable.phtml 
app/design/frontend/rwd/default/template/downloadable/email/order/items/invoice/downloadable.phtml 
app/design/frontend/rwd/default/template/downloadable/email/order/items/order/downloadable.phtml 

por ejemplo si ha agregado

 app/design/frontend/base/default/template/bundle/email/order/items/creditmemo/default.phtml

en su tema, entonces tiene que hacer cambios manualmente en

app/design/frontend/[YourPackge]/[YourTheme]/template/bundle/email/order/items/creditmemo/default.phtml

Por ejemplo, encontrar estas líneas

$attributes['option_label']

y reemplazar por debajo

$this->escapeHtml($attributes['option_label']);

Como se describe en /magento//a/243531/142 , debe verificar todos los archivos de plantilla de interfaz personalizada e incluir los cambios del parche allí manualmente.

Además de eso, debe verificar su account_password_reset_confirmation.htmlplantilla de correo. Dependiendo de su tienda, ya sea debajo app/locale/[LANG]/template/email/o en el backend bajo Sistema> Correos electrónicos transaccionales para todos los idiomas. En todas las plantillas respectivas, debe cambiar _query_id=$customer.ida _query_id=$customer.rp_customer_id. El cambio se ha implementado de manera compatible con versiones anteriores, pero si desea incluir todas las mejoras de seguridad, no debe perderse este cambio.

Hoy por la mañana me he aplicado el parche. Los archivos principales están en el backend de Magento.

app/code/core/Mage/Admin/Model/User.php
app/code/core/Mage/Admin/etc/config.xml
app/code/core/Mage/Adminhtml/Block/Catalog/Product/Edit/Tab/Super/Config.php
app/code/core/Mage/Adminhtml/Block/Widget/Grid/Massaction/Abstract.php
app/code/core/Mage/Adminhtml/Model/LayoutUpdate/Validator.php
app/code/core/Mage/Adminhtml/controllers/Catalog/ProductController.php
app/code/core/Mage/Adminhtml/controllers/Permissions/UserController.php
app/code/core/Mage/Adminhtml/etc/config.xml
app/code/core/Mage/Checkout/Model/Api/Resource/Customer.php
app/code/core/Mage/Checkout/Model/Type/Onepage.php
app/code/core/Mage/Cms/Model/Wysiwyg/Images/Storage.php
app/code/core/Mage/Core/etc/config.xml
app/code/core/Mage/Core/etc/system.xml
app/code/core/Mage/Customer/Helper/Data.php
app/code/core/Mage/Customer/Model/Customer.php
app/code/core/Mage/Customer/Model/Resource/Customer.php
app/code/core/Mage/Customer/controllers/AccountController.php
app/code/core/Mage/Customer/etc/config.xml
app/code/core/Mage/Customer/sql/customer_setup/upgrade-1.6.2.0.5.1.2-1.6.2.0.5.1.3.php
app/code/core/Mage/Paypal/Model/Express/Checkout.php
app/code/core/Mage/XmlConnect/controllers/ReviewController.php
app/code/core/Zend/Filter/PregReplace.php
app/locale/en_US/Mage_Adminhtml.csv
app/locale/en_US/Mage_Customer.csv
app/locale/en_US/template/email/account_password_reset_confirmation.html
app/locale/en_US/template/email/admin_new_user_notification.html
downloader/Maged/Controller.php
skin/adminhtml/default/enterprise/images/placeholder/thumbnail.jpg

Escapehtml agregó archivos

app/design/adminhtml/default/default/template/bundle/product/edit/bundle/option.phtml
app/design/adminhtml/default/default/template/bundle/sales/creditmemo/create/items/renderer.phtml
app/design/adminhtml/default/default/template/bundle/sales/creditmemo/view/items/renderer.phtml
app/design/adminhtml/default/default/template/bundle/sales/invoice/create/items/renderer.phtml
app/design/adminhtml/default/default/template/bundle/sales/invoice/view/items/renderer.phtml
app/design/adminhtml/default/default/template/bundle/sales/order/view/items/renderer.phtml
app/design/adminhtml/default/default/template/bundle/sales/shipment/create/items/renderer.phtml
app/design/adminhtml/default/default/template/bundle/sales/shipment/view/items/renderer.phtml
app/design/adminhtml/default/default/template/catalog/product/helper/gallery.phtml
app/design/frontend/base/default/template/bundle/email/order/items/creditmemo/default.phtml
app/design/frontend/base/default/template/bundle/email/order/items/invoice/default.phtml
app/design/frontend/base/default/template/bundle/email/order/items/order/default.phtml
app/design/frontend/base/default/template/bundle/email/order/items/shipment/default.phtml
app/design/frontend/base/default/template/bundle/sales/order/creditmemo/items/renderer.phtml
app/design/frontend/base/default/template/bundle/sales/order/invoice/items/renderer.phtml
app/design/frontend/base/default/template/bundle/sales/order/items/renderer.phtml
app/design/frontend/base/default/template/bundle/sales/order/shipment/items/renderer.phtml
app/design/frontend/base/default/template/downloadable/checkout/multishipping/item/downloadable.phtml
app/design/frontend/base/default/template/downloadable/email/order/items/creditmemo/downloadable.phtml
app/design/frontend/base/default/template/downloadable/email/order/items/invoice/downloadable.phtml
app/design/frontend/base/default/template/downloadable/email/order/items/order/downloadable.phtml
app/design/frontend/base/default/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml
app/design/frontend/base/default/template/downloadable/sales/order/invoice/items/renderer/downloadable.phtml
app/design/frontend/rwd/default/template/bundle/email/order/items/creditmemo/default.phtml
app/design/frontend/rwd/default/template/bundle/email/order/items/invoice/default.phtml
app/design/frontend/rwd/default/template/bundle/email/order/items/order/default.phtml
app/design/frontend/rwd/default/template/bundle/email/order/items/shipment/default.phtml
app/design/frontend/rwd/default/template/bundle/sales/order/items/renderer.phtml
app/design/frontend/rwd/default/template/downloadable/email/order/items/creditmemo/downloadable.phtml
app/design/frontend/rwd/default/template/downloadable/email/order/items/invoice/downloadable.phtml
app/design/frontend/rwd/default/template/downloadable/email/order/items/order/downloadable.phtml

En Magento Commerce, se agregaron archivos distintos a los archivos anteriores:

app/code/core/Enterprise/GiftRegistry/Helper/Data.php
app/code/core/Enterprise/GiftRegistry/Model/Attribute/Processor.php
app/design/frontend/enterprise/default/template/cms/hierarchy/pagination.phtml
app/design/frontend/enterprise/iphone/template/bundle/sales/order/items/renderer.phtml
app/design/frontend/enterprise/iphone/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml
app/design/frontend/enterprise/iphone/template/downloadable/sales/order/invoice/items/renderer/downloadable.phtml
app/design/frontend/enterprise/iphone/template/downloadable/sales/order/items/renderer/downloadable.phtml
app/design/frontend/rwd/enterprise/template/cms/hierarchy/pagination.phtml
app/design/frontend/rwd/enterprise/template/rma/return/view.phtml

No enfrento ningún problema hasta ahora.

En Magento EE 1.13.1.0

Patch está buscando un archivo incorrecto (archivo de la comunidad, creo).

Tuve que eliminar estas líneas del archivo de parche y aplicar. Se aplicó con éxito.

Notifiqué al equipo central de Magento y aún no recibimos comentarios.

diff --git app/design/frontend/rwd/default/template/bundle/sales/order/items/renderer.phtml app/design/frontend/rwd/default/template/bundle/sales/order/items/renderer.phtml
index b3e997f59f3..f34c2bba6a2 100644
--- app/design/frontend/rwd/default/template/bundle/sales/order/items/renderer.phtml
+++ app/design/frontend/rwd/default/template/bundle/sales/order/items/renderer.phtml
@@ -43,7 +43,7 @@
     <?php $attributes = $this->getSelectionAttributes($_item) ?>
     <?php if ($_prevOptionId != $attributes['option_id']): ?>
     <tr class="bundle label<?php if($_item->getLastRow()): ?> last<?php endif; ?>">
-        <td><div class="option-label"><?php echo $attributes['option_label'] ?></div></td>
+        <td><div class="option-label"><?php echo $this->escapeHtml($attributes['option_label']); ?></div></td>
         <td data-rwd-label="SKU" class="lin-hide">&nbsp;</td>
         <td data-rwd-label="Price" class="lin-hide">&nbsp;</td>
         <td data-rwd-label="Qty" class="lin-hide">&nbsp;</td>

El formulario de restablecimiento de contraseña ya no funciona después de instalar el parche en CE 1.7.0.2 con todos los parches anteriores instalados.

(PATCH_SUPEE-10888_CE_v1.7.0.2_v1-2018-09-18-03-00-22.sh)

EDITAR:

El problema ya no se produce después de revertir el parche desde el 18 de septiembre (v1) y aplicar el parche actualizado desde el 19 de septiembre (v1) + actualización de caché y borrar el caché de magento.

(PATCH_SUPEE-10888_CE_v1.7.0.2_v1-2018-09-19-03-01-22.sh)

Gracias, Robb por la pista.

SUPEE-10752 fue necesario para ser aplicado. También apliqué el parche de compatibilidad PHP 7.2 y eliminé el parche de compatibilidad Inchoo_PHP7 antes de instalar SUPEE-10888. Trabajó sin problemas.

Magento CE 1.6.2.0

Error de seguimiento una vez que se aplica el parche al intentar restablecer la contraseña de la cuenta del cliente en la interfaz.

Error fatal: Llame a una función miembro getBackend () en un no objeto en app / code / core / Mage / Eav / Model / Entity / Abstract.php en la línea 1536.

Resulta que el parche no ejecutó el script de actualización de SQL (app / code / core / Mage / Customer / sql / customer_setup / upgrade-1.6.1.0.1.2-1.6.1.0.1.3.php) que creó un nuevo atributo llamado rp_customer_id.

Verifique que haya borrado Magento Cache, pero lo más importante si tiene habilitado el barniz de caché, desactívelo. Después de deshabilitar todo el caché y limpiar el caché de barniz, el script SQL creó el nuevo atributo en la base de datos.

Encontró un pequeño error tipográfico en el parche para 1.14.2.0 a 1.14.2.4

En el archivo app/design/frontend/enterprise/iphone/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml, realiza el siguiente cambio por error:

<dt><?php echo $this->escspeHtml($this->getLinksTitle()); ?></dt>

en lugar de

<dt><?php echo $this->escapeHtml($this->getLinksTitle()); ?></dt>

Aquí está la diferencia para referencia:

diff --git app/design/frontend/enterprise/iphone/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml app/design/frontend/enterprise/iphone/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml index 6ed3cd9bfd4..f8b1573605a 100644 --- app/design/frontend/enterprise/iphone/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml +++ app/design/frontend/enterprise/iphone/template/downloadable/sales/order/creditmemo/items/renderer/downloadable.phtml @@ -55,7 +55,7 @@ <!-- downloadable --> <?php if ($links = $this->getLinks()): ?> <dl class="item-options"> - <dt><?php echo $this->getLinksTitle() ?></dt> + <dt><?php echo $this->escspeHtml($this->getLinksTitle()); ?></dt> <?php foreach ($links->getPurchasedItems() as $link): ?> <dd><?php echo $this->escapeHtml($link->getLinkTitle()); ?></dd> <?php endforeach; ?>

Hay un error tipográfico /app/code/core/Mage/Core/etc/system.xmlen <crate_admin_user_notification translate="label comment">su interior , <create_admin_user_notification translate="label comment">pero no se rompe porque los usos también se escriben mal enif(Mage::getStoreConfigFlag('admin/security/crate_admin_user_notification')

Actualmente falla aquí en Magento CE 1.9.1.0.

patching file app/code/core/Mage/Adminhtml/Model/LayoutUpdate/Validator.php
Hunk #2 FAILED at 57.

Una verificación visual de los archivos fuente confirma que el código relevante no está allí.

patching file app/code/core/Mage/Customer/controllers/AccountController.php
Hunk #3 FAILED at 845.

...

can't find file to patch at input line 600
Perhaps you used the wrong -p or --strip option?
The text leading up to this was:
--------------------------
|diff --git app/code/core/Zend/Filter/PregReplace.php app/code/core/Zend/Filter/PregReplace.php

Como se indicó, no existe tal archivo.

patching file app/design/adminhtml/default/default/template/bundle/product/edit/bundle/option.phtml
Hunk #1 FAILED at 209.

Solo un FYI para usuarios de EE, ya que este parche requiere SUPEE-10752, es posible que algunas sesiones se eliminen aleatoriamente o que su pago se redirija a la página de inicio en lugar de a la página de éxito.

Pasamos al proceso habitual de aplicar los siguientes parches en este orden:

1. SUPEE-10570v2 (PATCH_SUPEE-10570_EE_v1.14.2.4_v2-2018-03-22-10-57-00.sh)
2. SUPEE-10752 (PATCH_SUPEE-10752_EE_v1.14.2.4_v1-2018-06-25-09-53-38.sh)
3. SUPEE-10888 (PATCH_SUPEE-10888_EE_v1.14.2.4_v1-2018-09-19-03-07-06.sh)

Sin embargo, el parche SUPEE-10752 para EE contiene los siguientes cambios: app / code / core / Mage / Core / Model / Session / Abstract / Varien.php

+    const VALIDATOR_PASSWORD_CREATE_TIMESTAMP   = 'password_create_timestamp';


+    /**
+     * Use password creation timestamp in validator key
+     *
+     * @return bool
+     */
+    public function useValidateSessionPasswordTimestamp()
+    {
+        return true;
+    }


+        if ($this->useValidateSessionPasswordTimestamp()
+            && isset($validatorData[self::VALIDATOR_PASSWORD_CREATE_TIMESTAMP])
+            && isset($sessionData[self::VALIDATOR_SESSION_EXPIRE_TIMESTAMP])
+            && $validatorData[self::VALIDATOR_PASSWORD_CREATE_TIMESTAMP]
+            > $sessionData[self::VALIDATOR_SESSION_EXPIRE_TIMESTAMP] - $this->getCookie()->getLifetime()
+        ) {
+            return false;
+        }

Tuve que aplicar en la última parte el inválido_session_fix-2018-03-14-05-10-19.patch debajo que se encuentra en https://magento.com/tech-resources/download en SUPEE-10570 > invalid_session_fix.patch (0 MB)

diff --git a/app/code/core/Mage/Core/Model/Session/Abstract/Varien.php b/app/code/core/Mage/Core/Model/Session/Abstract/Varien.php
index 59b3ea8..35155f1 100644
--- a/app/code/core/Mage/Core/Model/Session/Abstract/Varien.php
+++ b/app/code/core/Mage/Core/Model/Session/Abstract/Varien.php
@@ -485,7 +485,7 @@ class Mage_Core_Model_Session_Abstract_Varien extends Varien_Object
             && isset($validatorData[self::VALIDATOR_PASSWORD_CREATE_TIMESTAMP])
             && isset($sessionData[self::VALIDATOR_SESSION_EXPIRE_TIMESTAMP])
             && $validatorData[self::VALIDATOR_PASSWORD_CREATE_TIMESTAMP]
-            > $sessionData[self::VALIDATOR_SESSION_EXPIRE_TIMESTAMP] - $this->getCookie()->getLifetime()
+            > $sessionData[self::VALIDATOR_SESSION_EXPIRE_TIMESTAMP]
         ) {
             return false;
         }

He visto un problema con algunos clientes en los que nos llaman porque no pueden iniciar sesión y ver su cuenta.

El correo electrónico y la contraseña son correctos: no hay mensaje de error de inicio de sesión, la página simplemente se recarga en la página de inicio o la página de inicio de sesión, ¡parece que no pueden ingresar a su cuenta! Esto sucedió después de aplicar el parche 10888, y tenemos aplicado 10752.

Después de excavar encontré en la tabla customer_entity, y me despertó que los clientes afectados tienen una marca de tiempo created_dateDESPUÉS de la updated_date. Creo que no debería ser así, ¿verdad?

Entonces, para probar, cambié el created_date para que sea ANTES del updated_date, incluso por un minuto. Para algunos usuarios, esto solo les ayudó a volver a sus cuentas. Mientras que para otros usuarios también tuve que actualizar su contraseña a través de SQL, usando query:

update customer_entity_varchar set value = md5('123456') 
   where where entity_id = 105 /*enter customer's entity_id found in customer_entity */
   and attribute_id in 
      (select attribute_id from eav_attribute where attribute_code = 'password_hash' 
        and entity_type_id = 1);

No tengo que investigar a fondo los cambios que SUPEE 10888 hace en los archivos principales del cliente, pero definitivamente hay problemas con el parche.

Además, parece que no puedo actualizar la contraseña de los clientes a través del panel de administración como lo haría normalmente, al guardar, la página da como resultado un error.

Usando 1.9.2.4

Estoy usando Magento 1.9.3.7. Os es ubuntu. La versión de PHP es 7.0.

Cuando trató de aplicar la ruta SUPPER-10888 obteniendo el siguiente error.

Checking if a patch can be applied/reverted successfully...

ERROR: el parche no se puede aplicar / revertir con éxito.

la comprobación de la aplicación / código / core / Mage / Admin / Model / User.php Hunk # 2 tuvo éxito en 676 (desplazamiento -20 líneas). aplicación de comprobación de archivos / código / core / Mage / Admin / etc / config.xml aplicación de comprobación de archivos / código / core / Mage / Adminhtml / Block / Catalog / Product / Edit / Tab / Super / Config.php aplicación de aplicación / código de comprobación / core / Mage / Adminhtml / Block / Widget / Grid / Massaction / Abstract.php revisando la aplicación de archivo / code / core / Mage / Adminhtml / Model / LayoutUpdate / Validator.php Hunk # 2 FALLÓ en 57. Hunk # 3 tuvo éxito en 80 ( desplazamiento -12 líneas). Hunk # 4 tuvo éxito en 115 con fuzz 2 (offset -12 líneas). Hunk # 5 tuvo éxito en 139 con fuzz 1 (offset -21 líneas). Hunk # 6 tuvo éxito en 161 (offset -21 líneas). 1 de 6 hunks FALLÓ la aplicación del archivo de verificación / código / core / Mage / Adminhtml / controllers / Catalog / ProductController.php Hunk # 1 tuvo éxito en 1020 (desplazamiento -11 líneas). archivo de comprobación de la aplicación / código / core / Mage / Adminhtml / controllers / Permissions / UserController.php archivo de comprobación de la aplicación / código / core / Mage / Adminhtml / etc / config.xml archivo de comprobación de la aplicación / código / core / Mage / Checkout / Model / Api / Resource / Customer.php Hunk # 1 tuvo éxito en 151 con fuzz 1 (desplazamiento -1 líneas). comprobando la aplicación de archivo / código / core / Mage / Checkout / Model / Type / Onepage.php Hunk # 1 tuvo éxito en 731 con fuzz 1 (desplazamiento -3 líneas). aplicación de comprobación de archivos / código / core / Mage / Cms / Model / Wysiwyg / Images / Storage.php aplicación de comprobación de archivos / code / core / Mage / Core / etc / config.xml aplicación de comprobación de archivos / code / core / Mage / Core / etc / system.xml archivo de verificación app / code / core / Mage / Customer / Helper / Data.php archivo de verificación app / code / core / Mage / Customer / Model / Customer.php archivo de verificación app / code / core / Mage / Customer /Model/Resource/Customer.php Hunk # 1 tuvo éxito en 332 (desplazamiento -1 líneas). comprobando la aplicación de archivo / código / core / Mage / Customer / controllers / AccountController.php Hunk # 1 tuvo éxito en 755 (desplazamiento -1 líneas). Hunk # 2 tuvo éxito en 810 (desplazamiento -1 líneas). Hunk # 3 FALLÓ en 871. Hunk # 4 tuvo éxito en 883 (offset -2 líneas). 1 de cada 4 hunks FALLÓ la aplicación / código / core / Mage / Customer / etc / config.xml del archivo de comprobación Hunk # 1 FALLÓ a 28. 1 de 1 trozo FALLÓ la aplicación / código / core / Mage / Customer / sql / customer_setup / upgrade-1.6.2.0.5.1.2-1.6.2.0.5.1.3.php archivo de verificación app / code / core / Mage / Paypal / Model / Express / Checkout.php archivo de verificación app / code / core / Mage / XmlConnect / controllers / ReviewController.php no puede encontrar el archivo para parchear en la línea de entrada 600 ¿Quizás usó la opción incorrecta -p o -strip? Hunk # 4 tuvo éxito en 883 (offset -2 líneas). 1 de cada 4 hunks FALLÓ la aplicación / código / core / Mage / Customer / etc / config.xml del archivo de comprobación Hunk # 1 FALLÓ a 28. 1 de 1 trozo FALLÓ la aplicación / código / core / Mage / Customer / sql / customer_setup / upgrade-1.6.2.0.5.1.2-1.6.2.0.5.1.3.php archivo de verificación app / code / core / Mage / Paypal / Model / Express / Checkout.php archivo de verificación app / code / core / Mage / XmlConnect / controllers / ReviewController.php no puede encontrar el archivo para parchear en la línea de entrada 600 ¿Quizás usó la opción incorrecta -p o -strip? Hunk # 4 tuvo éxito en 883 (offset -2 líneas). 1 de cada 4 hunks FALLÓ la aplicación / código / core / Mage / Customer / etc / config.xml del archivo de comprobación Hunk # 1 FALLÓ a 28. 1 de 1 trozo FALLÓ la aplicación / código / core / Mage / Customer / sql / customer_setup / upgrade-1.6.2.0.5.1.2-1.6.2.0.5.1.3.php archivo de verificación app / code / core / Mage / Paypal / Model / Express / Checkout.php archivo de verificación app / code / core / Mage / XmlConnect / controllers / ReviewController.php no puede encontrar el archivo para parchear en la línea de entrada 600 ¿Quizás usó la opción incorrecta -p o -strip?

El texto que condujo a esto fue:

| diff --git app / code / core / Zend / Filter / PregReplace.php app / code / core / Zend / Filter / PregReplace.php | index 586c0fe20a0..d6fa2dac0ec 100644 | --- app / code / core / Zend / Filter / PregReplace.php

| +++ aplicación / código / core / Zend / Filter / PregReplace.php

Archivo para parchear: ¿Saltar este parche? [y] Saltando parche. 2 de cada 2 trozos ignoraron la aplicación / diseño / adminhtml / default / default / template / bundle / product / edit / bundle / option.phtml Hunk # 1 FAILED at 209. 1 de 1 trozo FALLÓ la aplicación / diseño / adminhtml / default / default / template / bundle / sales / creditmemo / create / items / renderer.phtml archivo de verificación app / design / adminhtml / default / default / template / bundle / sales / creditmemo / view / items / renderer.phtml archivo de verificación app / design / adminhtml / default / default / template / bundle / sales / invoice / create / items / renderer.phtml que comprueba el archivo app / design / adminhtml / default / default / template / bundle / sales / invoice / view / items / renderer .phtml comprueba la aplicación de archivo / design / adminhtml / default / default / template / bundle / sales / order / view / items / render.

¿Alguna idea de lo que falta?