CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
Backstageカタログ関連の3つのパッケージに、内容が公開されていないセキュリティ修正が含まれています。該当するパッケージを使用している場合は、アップグレードが必要です。
影響確認 (1)
securityBackstageカタログ関連パッケージのセキュリティ修正
@backstage/plugin-catalog-backend-module-unprocessed、@backstage/plugin-catalog-unprocessed-entities-common version、または@backstage/plugin-catalog-unprocessed-entitiesを使用している場合に適用されます。
機能追加と保守更新を含むリリースで、APIやUI、プラグインの変更、非推奨化、デフォルト動作の変更があります。移行が必要な変更に加えて、認証トークンの扱いと依存関係のセキュリティ修正も含まれるため、運用環境やプラグインへの影響確認が必要です。
要対応 (4)
securityhighglobとrollupの脆弱性に対応
globをv13へ、rollupをv4.59以降へ更新しました。旧バージョンのglobの脆弱性と、GHSA-mw96-cpmx-2vgcに該当するrollupのパストラバーサル脆弱性に対応しています。
securityglobをv13へ更新
globの依存バージョンをv7/v8/v11からv13へ更新し、旧バージョンのセキュリティ脆弱性に対応しました。
securityrollupをv4.59以降へ更新
rollupをv4.27からv4.59以降へ更新し、パストラバーサル脆弱性（GHSA-mw96-cpmx-2vgc）を修正しました。
securityOAuth保護リソースURLを修正
.のリソースURLをRFC 9728 Section 7.3に準拠する形へ修正し、動的なリソースパスに対応しました。
影響確認 (22)
breakingユーザートークンのentクレームをデフォルトで省略
auth.を設定していない場合に該当します。
breakingSignInResolverFactoryOptionsの型パラメーターを変更
SignInResolverFactoryOptionsを使用している場合に該当します。
breakingカタログ権限拡張ポイントを削除
CatalogPermissionRuleInput、CatalogPermissionExtensionPoint、またはcatalogPermissionExtensionPointを使用している場合に該当します。
事前準備 (6)
deprecatedshowとshowModalの内部処理をopenに変更
showまたはshowModalを使用している場合に該当します。
deprecatedauth.のfalse設定を非推奨化削除時期は未定
auth.を設定している場合に該当します。
deprecated従来のconfig.形式を非推奨化
config.を使用している場合に該当します。
APIを変更せず、小数値に基づく擬似乱数バケットの割り当て結果が変わります。プロバイダー間の割り当ての一貫性を保つには、すべてのプロバイダーの更新が必要です。
影響確認 (1)
breakingfractional bucketing の改善
プロバイダーを使用している場合に適用されます。
