RATATOSKRATATOSK
ログイン

Meshery

v1.0.76Provisioning & Runtime
2026年11月12日

ACTION 25CHECK 4PLAN 1OTHER 119

`mesheryctl` と UI の動作の正確性を高め、CLI の引数検証とオペレーターから見える挙動や互換性を見直したリリースです。新しい機能に加えて、未認証リクエストや権限拒否時のデータ漏えいに関する修正も含まれるため、該当する運用ではセキュリティ案内とワークフローを確認してください。

要対応 (25)

  • breakingテレメトリーハンドラーの connection ID 検証

    テレメトリーハンドラーで connection ID のパスパラメーターを検証するようになりました。

  • breaking無効な UUID エラーの統一

    DeleteUserCredential で無効な UUID を受け取った際のエラーを ErrInvalidUUID に統一しました。

  • breaking複数セレクターのリレーションシップ検証

    複数セレクター間のリレーションシップを検証し、存在しないリレーションシップが混入しないようにしました。

  • breakingcredential ID のパスパラメーター検証

    GetUserCredentialByID で credential ID のパスパラメーターを検証するようになりました。

  • breakingフィルター削除時の HTTP ステータス整理

    不正な形式のフィルター削除には HTTP 400、存在しないフィルターの削除には 404 を返すようになりました。

  • breaking未知の接続 ID 更新時の応答変更

    存在しない ID の接続を更新した場合、接続を作成せず 404 を返すようになりました。

  • breakingレジストリ purge の引数検証

    レジストリの purge で、引数を正確に検証するようになりました。

  • breakingdesign apply の入力検証

    design apply の入力値を検証するようになりました。

  • breakingsystem login の位置引数検証

    system login で予期しない位置引数を受け付けないようになりました。

  • breakingdesign ID プレフィックスの曖昧さ排除

    曖昧な design ID のプレフィックスを受け付けないようになりました。

  • breakingsystem provider list の引数検証

    system provider list で、引数を正確に検証するようになりました。

  • breakingsystem context list の引数検証

    system context list で、引数を正確に検証するようになりました。

  • breakingsystem token view の引数検証

    system token view で引数を検証するようになりました。

  • breakingsystem token view の引数数上限検証

    system token view で許容する引数の最大数を検証するようになりました。

  • breakingfilter list の引数検証

    filter list で引数を検証するようになりました。

  • breakingenvironment create の引数検証

    environment create で引数を正確に検証するようになりました。

  • breakingworkspace create の引数検証

    workspace create で引数を正確に検証するようになりました。

  • breakingenvironment view の引数検証

    environment view で引数を正確に検証するようになりました。

  • breakingenvironment list の引数検証

    environment list で引数を正確に検証するようになりました。

  • breakingorganization list の引数検証

    organization list で引数を正確に検証するようになりました。

  • breakingworkspace list の引数検証

    workspace list で引数を正確に検証するようになりました。

  • breakingdesign list の引数検証

    design list で引数を正確に検証するようになりました。

  • breakingcomponent list の引数検証

    component list で引数を正確に検証するようになりました。

  • breakingsystem logout の位置引数検証

    system logout で予期しない位置引数を受け付けないようになりました。

  • breakingmesheryctl の design ID プレフィックス検証

    mesheryctl で曖昧な design ID のプレフィックスを受け付けないようになりました。

影響確認 (4)

  • security未認証モデルエクスポートのパストラバーサル修正

    認証されていないリクエストに適用されます。

    モデルのエクスポートで、version フィールドを利用した未認証リクエストのパストラバーサルを修正しました。

  • securityUI の権限拒否時データ漏えい防止

    ビュー権限が拒否されている場合に適用されます。

    Environments、Settings、Performance、Extensions でビュー権限が拒否された場合に、wire-level data が漏えいしないようにしました。

  • breakingrelationship list のページ指定値検証

    --page または --pagesize を使用する場合に適用されます。

    relationship list で --page と --pagesize に 0 を指定した場合、受け付けないようになりました。

  • breakingworkspace の --count 削除

    --count を使用する場合に適用されます。

    常に失敗していた workspace の --count フラグを削除しました。

事前準備 (1)

  • deprecatedmesheryctl のモデルエクスポート --page 非推奨化

    --page を使用する場合に適用されます。

    モデルエクスポートで実際には何もしない --page フラグを非推奨にしました。

その他の記録済み変更 119 件すべてfixes 86 · value changes 15 · additions 13 · constraints 5

fixes (86)

  • - [Server] Exclude soft-deleted connections and mappings in GetEnvironmentConnections @harmanD-MAX (#23263)
  • - [Server] Retain API group paths in manifest errors and record partial registration @Supersaiyan101 (#23249)
  • - [Server] Guard nil dereferences, detached goroutines, and unmarshal errors in events streamer @Amansingh0807 (#23233)
  • - [Server] Propagate manifest extraction errors and add positive CRD test @Supersaiyan101 (#23232)
  • - [Server] Fix missing metrics query parameter in GetMesheryPattern @Swarup-Banik (#23227)
  • - fix: correct meshmodel policies pagination @Nixantsingh943 (#23231)
  • - [Server] Fix runtime panic in getResolvedManifest (MeshModel) @Supersaiyan101 (#23228)
  • - [Server] Fix HTTP error handling in DefaultLocalProvider.PublishMetrics @Swarup-Banik (#23218)
  • - [Server] Initialize valid MachineCtx for Kubernetes connection registration @Atharva-Mendhulkar (#23210)
  • - fix(server): preserve correct annotation classification for alias components @VimalN2005 (#23177)
  • - [Server] Do not route non-Kubernetes status updates through the Kubernetes machine @sahillpaul (#23201)
  • - [Server] Fix connection definition updates @0xmaster7 (#23192)
  • - [Server] Rollback in-memory state machine on database update failure @Atharva-Mendhulkar (#23155)
  • - [Server] Return HTTP 404 when deleting non-existent model or connection definition @Amansingh0807 (#22821)
  • - [Server] Handle registry lookup errors during connection registration @Nixantsingh943 (#23072)
  • - fix(handlers): preserve context for background FSM transitions @Atharva-Mendhulkar (#23146)
  • - [Server] Report Kubernetes context conversion failures instead of silently skipping connections @Nixantsingh943 (#23171)
  • - [Server] Cancel stalled Kubernetes discovery requests @0xmaster7 (#23166)
  • - [Server] Propagate database and marshal errors from GetMesheryK8sContexts @RameshwariS (#22967)
  • - fix(server): report asynchronous context deletion errors @Nixantsingh943 (#23145)
  • - [Server] Resolve Kubernetes unreachable condition after connection deletion @Nixantsingh943 (#23101)
  • - [Server] Preserve composite string formatting and non-greedy reference matching in pattern filler @nishant-devv (#23090)
  • - [Server] Prevent index out-of-bounds panic in ExtensionProxy router @Supersaiyan101 (#23088)
  • - [Server] Dynamically size planner channels and eliminate mutex deadlock on fan-in @nishant-devv (#23085)
  • - [Server] Prevent send on closed channel panic in ProviderTracker @Supersaiyan101 (#23086)
  • - [Helm] Fix ingressClassName rendering in meshery chart @madhavzanwar (#23064)
  • - [Server] Reset registration status on component generation failure and allow retries @nishant-devv (#23081)
  • - [Server] Cascade mapping deletions on workspace and member removal and deduplicate designs @nishant-devv (#23077)
  • - [Server] Deduplicate environment connection mappings and cascade delete on removal @nishant-devv (#23048)
  • - [Server] Parse Content-Disposition when naming a design imported from a URL @BarbieRajput (#23045)
  • - [Server] Stop repeated workspace assignments from surviving removal @BarbieRajput (#23043)
  • - [Server] Match every label in MeshSync resource filters @BarbieRajput (#23041)
  • - [Server] Deduplicate workspace environment, view, and team mappings @nishant-devv (#23034)
  • - [Server] Keep a connection's created_at and owner when updating it @maindevhoon (#23027)
  • - [Server] Prevent unchecked type assertions and detached goroutine nil panics in GraphQL resolvers @Amansingh0807 (#23011)
  • - [Server] Keep a performance profile's created_at when editing it @BarbieRajput (#23002)
  • - [Server] Apply Additional Options saved from the UI to load tests @BarbieRajput (#22996)
  • - [Server] Keep a filter's file, visibility and created_at when updating it @BarbieRajput (#22995)
  • - [Server] Prevent caching uninitialized state machine on Start failure @nishant-devv (#22975)
  • - [Server] Sum registration failure counts across models @Asheesh7298 (#22977)
  • - [Server] Save performance results when anonymous sharing is off @BarbieRajput (#22952)
  • - [Server] Retain ORDER BY clause in GetMeshSyncResources handler @Supersaiyan101 (#22829)
  • - [server] Prevent nil pointer dereference on pattern clone and ErrRequestBody @Supersaiyan101 (#22768)
  • - [Server] Prevent unchecked type assertion and detached goroutine nil panics in middlewares @Amansingh0807 (#22964)
  • - fix(server): guard against nil patternData in pattern update handler (#22898) @VimalN2005 (#22946)
  • - [Server] Fix file descriptor leaks in component SVG generation and OCI export (#22814) @muskan-creates352 (#22815)
  • - [Server] Prevent unbounded goroutine leak in MeshSyncRegistrationQueue.Send @Amansingh0807 (#22901)
  • - [Server] Close the gzip reader in TarXZ @Ankitavasudev (#22893)
  • - [Server] Prevent nil pointer dereferences on missing context values in state machines @Amansingh0807 (#22885)
  • - [Docker Extension] Fix nil-pointer panic in proxy ServeHTTP @BarbieRajput (#22691)
  • - [Server] Keep stored design fields when re-saving through POST /api/pattern @Karman580 (#22843)
  • - [Server] Use a valid OCI repository name when exporting models @kkm121 (#22862)
  • - [Server] Close temp certificate file descriptor and guard type assertion in LoadTestHandler @Amansingh0807 (#22818)
  • - [Server] Close file descriptor on all return paths in k8s_components_registration @Amansingh0807 (#22765)
  • - [Server] Close each adapter client per host in Provision @harshitsaxena214 (#22839)
  • - [mesheryctl] Respect --skip-browser in system dashboard --port-forward @Eternity0207 (#23240)
  • - [mesheryctl] Align flag struct json tags with Cobra flag names @ayushbuilds-code (#23236)
  • - [mesheryctl] Show only the requested services in system logs on Docker @Eternity0207 (#23136)
  • - [mesheryctl] Fix remaining HTTP response body leaks @ItsAbir005 (#23028)
  • - [mesheryctl] Prevent hang on empty token view prompt and respect --yes flag @nishant-devv (#23036)
  • - Fix/issue 22923 filter import url v2 @itsCodeTide (#23017)
  • - [mesheryctl] Send the deploy payload from design delete -f @Asheesh7298 (#23021)
  • - [mesheryctl] Respect --follow for system logs on Docker @mayank609 (#22979)
  • - fix(mesheryctl): use IsValidUrl to detect URLs in filter import @aditya-desale (#22969)
  • - [mesheryctl] Preserve silent flag across system restart @Swatantra-66 (#22776)
  • [mesheryctl] Propagate errors and handle non-200 responses in registry update and publish @aarushdubey (#22926)
  • [mesheryctl] Restore the adapter event stream and fail fast without it @Eternity0207 (#22927)
  • [mesheryctl] Fix unclosed file descriptors in helpers (#22902) @muskan-creates352 (#22908)
  • [mesheryctl] Save and fetch designs correctly in design apply and delete @Eternity0207 (#22887)
  • fix(mesheryctl): surface error detail in ErrUndeployDesign @ThakurUjjwal1706 (#22866)
  • [mesheryctl] Prevent slice out-of-bounds panic and unchecked type assertions in model import @Swatantra-66 (#22867)
  • [mesheryctl] Fix design and filter list showing wrong names by using strings.TrimSuffix @NerfedAce (#22668)
  • fix(mesheryctl): support relative file paths in design undeploy @ThakurUjjwal1706 (#22838)
  • fix(mesheryctl): support positional file argument and validate input in design delete @ThakurUjjwal1706 (#22773)
  • [mesheryctl] Validate the provider before system provider switch asks for confirmation @Eternity0207 (#22789)
  • [mesheryctl] Prevent nil pointer dereference panic and unhandled HTTP status in perf apply @Swatantra-66 (#22801)
  • [UI] Read camelCase catalogData.publishedVersion in getDesignVersion @ayushbuilds-code (#23241)
  • [UI] Fix Kubernetes dashboard columns that always render empty @MuhammadFaizan-prog (#23234)
  • [UI] Use supported durations in performance preferences @0xmaster7 (#23107)
  • [UI] Fix comparator contract, state mutation, and semver sorting in versionSort utility @madhavzanwar (#23055)
  • [mesheryctl] Fix remaining HTTP response body leaks @ItsAbir005 (#23028)
  • [UI] Roll back Catalog Content preference on save failure @spacenets7 (#23029)
  • [UI] Fix dashboard edit options overflow on small screens @ItsAbir005 (#22984)
  • [UI] Fix notification center infinite scroll loading past the last page @ayushgade06 (#22793)
  • Fix/issue 22923 filter import url v2 @itsCodeTide (#23017)
  • [Server] Prevent nil pointer dereference on in-cluster context discovery @nishant-devv (#22823)

value changes (15)

  • feat(server): adopt the error and event condition contract from meshery/schemas @leecalcote (#22950)
  • [mesheryctl] Print perf result latencies in milliseconds @BarbieRajput (#22939)
  • [mesheryctl] Send saved headers, cookies and content type in perf apply @BarbieRajput (#22938)
  • [mesheryctl] Return an error instead of exiting on stdin read failures in prompts @harshitsaxena214 (#22850)
  • [UI] Honor hideError in widget error indicators @dropps07 (#23109)
  • [UI] Reset to the first page when searching or filtering resources @mayank609 (#22992)
  • [UI] Reset to the first page when searching environments, workspaces and profiles @mayank609 (#22982)
  • [UI] Send the canonical filter import bodies @Asheesh7298 (#22983)
  • [UI] Forward pageSize in useLazyGetConnectionsQuery @krishbuilds01 (#22971)
  • fix: harden event replay, stale idempotency bindings, and revision ordering @leecalcote (#22965)
  • [UI] Honor hideError in ObjectFieldTemplate error indicator @dropps07 (#22957)
  • [UI] Report adapter and preference save failures instead of failing silently @mayank609 (#22941)
  • [Server] Trigger Kubernetes cluster teardown on connection deletion @Atharva-Mendhulkar (#23219)
  • [Server] Index the events table for Notification Center queries @ayushgade06 (#23174)
  • [Catalog] Migrate Kafka design to Apache Kafka 4.4.0 @spacenets7 (#22872)

additions (13)

  • - [Models] Seed cert-manager and dapr relationships on newest model version @BarbieRajput (#23204)
  • - [mesheryctl] Add subcommand examples and action overview to registry help text @madhavzanwar (#23053)
  • [mesheryctl] Find designs by name in design export @Eternity0207 (#22890)
  • [mesheryctl] Add perf delete command @harshitsaxena214 (#22840)
  • [UI] Add accessible noscript fallback when JavaScript is disabled @Prakhar1Ojha (#23165)
  • [UI] Add quick-access Delete action to Designs @Prakhar1Ojha (#23151)
  • [UI] Notify when the Designs publish schema fails to load @mayank609 (#22990)
  • [Server][UI] Store and show filter configuration @Asheesh7298 (#23040)
  • [UI] Show an error when deleting a performance profile fails @mayank609 (#22986)
  • [UI] Notify when the SMP mesh list fails to load in the performance form @mayank609 (#22988)
  • feat(server): insert events, replay idempotent creates and correlate repeated failures on MeshKit v1.0.29 @leecalcote (#22958)
  • [UI] Show error notifications when filter actions fail @mayank609 (#22930)
  • [UI] Show a single error toast when MeshSync resources fail to load @harshiltewari2004 (#22807)

constraints (5)

  • - [Server] Scope adapter events to the user and operation that requested them @Eternity0207 (#23098)
  • [mesheryctl] Apply perf apply --options and --cert-path to existing profiles @Eternity0207 (#22861)
  • [mesheryctl] Accept any case of --output-format in the output formatter factories @Eternity0207 (#22855)
  • [UI] Parse lowercase k quantity unit in memory and disk parsers @madhavzanwar (#23247)
  • [UI] List every environment in the environment pickers @Asheesh7298 (#23024)
Mesheryをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチと破壊的変更も、その一例です。

スタックに追加 →