Dapr

v1.18.2Orchestration & Management

2026年7月21日リンクをコピー

Dapr v1.18.2は、ワークフロー状態管理、アクター並行性、およびコンポーネント初期化に対応するバグフィックスロールアップであり、2つの中程度のCVE依存関係バンプ(go-chiとMongoDBドライバー)を含みます。これらはドロップイン更新です。ワークフローメトリックラベリングとインスタンスID再利用エラー処理に関する2つの破壊的変更があります。

• securitygo-chi HTTPルーティングライブラリのCVE-2025-69725を修正

  go-chi/chi のCVE-2025-69725はv5.2.2からv5.2.4への依存関係更新により、v1.18.2で修正されます。挙動に変化のないドロップイン更新です。

• securityMongoDBドライバーのCVE-2026-2303を修正

  MongoDB GoドライバーのCVE-2026-2303はgo.mongodb.org/mongo-driverをv1.14.0からv1.17.7にピン留めすることにより、v1.18.2に同梱されるcomponents-contrib v1.18.3で修正されます。MongoDBステートストアを使用するデプロイメントが対象であり、挙動に変化のないドロップイン更新です。

• breakingワークフロー実行メトリックのラベルが変更

  dapr_runtime_workflow_execution_countメトリックのラベルが、終了したワークフロー(status=terminated)と失敗したワークフロー(status=failed)を正確に区別するようになりました。以前はどちらもfailedとして報告されていました。この変更に依存するクエリとアラートの更新が必要です。

• breakingワークフローインスタンスID再利用のコンフリクト検出が強制されます

  既に実行中の子ワークフローによって使用されているインスタンスIDを使用してワークフローインスタンスを作成する場合、無期限にハングする代わりに、コンフリクトエラーが即座に返されるようになります。実行中の子ワークフローを含むインスタンスIDを再利用するデプロイメントが対象です。

• enhancementアクターリマインダーとジョブ命名の検証が緩和

  リマインダー名、ジョブ名、およびアクター識別子は、スラッシュ(/)、バックスラッシュ(\)、ハッシュ(#)、クエスチョンマーク(?)、制御文字(NULを含む)、および正確なパスシーケンス(.)および(..)を除く任意の文字を含められるようになります。スケジューラベースのアクターリマインダーを使用する場合に適用されます。