リリース

影響確認 (3)

• securitymediumMySQLスキーママイグレーション008の追加

  MySQL backendを使用している場合に適用されます。

  MySQL backend向けにスキーママイグレーション008を追加しました。このマイグレーションにはメンテナンス時間が必要で、アップグレード前に[オペレーター向けランブック](https://github.com/openfga/openfga/blob/main/assets/migrations/mysql/collation_migrations.md)の確認が必要です。対象となる識別子はCVE-2026-55170およびCVE-2026-55689です。

• security事前共有鍵認証の定時間比較

  事前共有鍵認証を使用している場合に適用されます。

  事前共有鍵認証での比較にcrypto/subtle.ConstantTimeCompareを使うよう修正し、従来のマップ検索によって有効な鍵バイトに関する情報がタイミングサイドチャネルから漏れる可能性を閉じました。

• securityOIDC設定でのissuerとaudienceの必須化

  authn.methodがoidcに設定されている場合に適用されます。

  authn.methodがoidcの場合、authn.oidc.issuerとauthn.oidc.audienceの両方を設定する検証を追加しました。

影響確認 (2)

• securityAuthZEN ディスカバリーのエンドポイント URL を設定値から生成

  authzen.baseURL を設定している場合に適用されます。

  AuthZEN のディスカバリーメタデータが、リクエストの Host ヘッダーではなく設定済みの authzen.baseURL からエンドポイント URL を公開するようになり、Host ヘッダー汚染を防ぎます。

• securityテスト用 Docker パッケージを Moby に置換

  テストを実行する場合に適用されます。

  テストでのみ使用していた脆弱性のある github.com/docker/docker パッケージを削除し、Moby (client \u0026 api) に置き換えました。

要対応 (1)

• securitymediumBatchCheckのポリシー適用不備を修正

  同じタプルに対する複数のチェックを含むBatchCheck呼び出しで、ポリシーが正しく適用されない問題を修正しました。CVE-2026-34972およびGHSA-jwvj-g8pc-cx45に関係する修正です。

影響確認 (1)

• securitymedium条件付き Check リクエストのキャッシュ結果に関する脆弱性を修正

  条件付きの Check リクエストでキャッシュを有効にしている場合に適用されます。

  条件付きの Check リクエストでキャッシュを有効にしている場合、誤ったキャッシュ結果を返す脆弱性を修正しました。CVE-2026-33729（GHSA-h6c8-cww8-35hf）に該当します。

要対応 (2)

• securityhighgo ツールチェーンの更新

  go ツールチェーンを 1.25.8 に更新し、標準ライブラリの脆弱性 GO-2026-4603 と GO-2026-4601 に対応しました。

• breakingタプル文字列の検証条件変更

  タプル文字列に unicode control characters または null bytes が含まれている場合、タプル検証が失敗するようになりました。

要対応 (1)

• securitycriticalgrpc-health-probeをv0.4.45へ更新

  grpc-health-probeがv0.4.45に更新され、CVE-2025-68121に対応しました。