OpenFGA
v1.11.3Security2026年1月28日
v1.11.3では、設定や可観測性に関する変更に加え、スロットリングとメトリクスの挙動が更新されています。ポリシー適用の不備も修正されています。
要対応 (1)
securitymediumポリシー適用の不備を修正
ポリシー適用の不備を修正しました。CVE-2026-24851 および GHSA-jq9f-gm9w-rwm9 に対応しています。
影響確認 (1)
breakingカスタム
grpc_codeラベルの削除grpc_codeラベルに依存している場合に適用されます。カスタムの
grpc_prometheusフォークを削除し、go-grpc-middlewareのプロバイダーに置き換えました。このメトリクスからカスタムのgrpc_codeラベルがなくなります。
その他の記録済み変更 9 件すべてfixes 4 · additions 2 · value changes 2 · constraints 1
fixes (4)
- ListUsers will now properly get datastore throttled if enabled.
- Cache controller now uses the logger provided to the server instead of always using a no-op logger.
- Typesystem invalidate model with empty intersection and union.
- Ordered iterator to iterate tuples correctly.
additions (2)
- Add configuration option to limit max type system cache size.
- Add configurable server-side validation for ReadChanges page size. The default max page size remains 100 to maintain backward compatibility, and can be configured via
--readChanges-max-page-sizeCLI flag orOPENFGA_READ_CHANGES_MAX_PAGE_SIZEenvironment variable.
value changes (2)
- Datastore throttling separated from dispatch throttling in BatchCheck, ListUsers metadata.
throttling_typelabel added tothrottledRequestCountermetric to differentiate between dispatch/datastore throttling.
constraints (1)
- Add OTEL_* env var support to existing otel env vars.
OpenFGAをスタックに追加
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチと破壊的変更も、その一例です。