リリース

要対応 (2)

• breaking公開前のTypeScript設定スキーマ検証

  パッケージ公開前の準備処理で、TypeScript設定スキーマが厳密に検証されるようになりました。

• breakingルート接続タイプの定義元変更

  接続タイプは、ルート接続タイプの定義元として移植可能な設定スキーマを使うようになりました。

要対応 (1)

• securityDependabotのセキュリティアラート解消

  flagd-proxyで未解消だったDependabotのセキュリティアラートを解消しました。

要対応 (1)

• securitySSD CLIのシークレットマスク偽装防止

  serverで、SSD CLIのシークレットマスク偽装を防ぐ修正が入りました。

要対応 (1)

• securitySSD CLIのシークレットマスク偽装防止

  サーバー側で、SSD CLIのシークレットマスクを偽装できる問題を修正しました。

要対応 (2)

• securityhigh/ui の brace-expansion を更新

  CVE-2026-69152 対応のため、/ui の brace-expansion を 2.1.4 および 1.1.18 に更新しました。

• securitymediumDOMPurify を 3.4.7 に更新

  CVE-2026-49978 対応のため、DOMPurify を 3.4.7 に更新しました。

要対応 (3)

• securityhighgithub.com/go-git/go-git/v5 の更新

  github.com/go-git/go-git/v5をv5.19.1からv5.19.2へ更新しました。GHSA-hc8v-wwc9-vgxmに関する更新です。

• securitymediumgo.opentelemetry.io/otel の更新

  go.opentelemetry.io/otelをv1.43.0からv1.44.0へ更新しました。GO-2026-5158およびCVE-2026-41178に関連する、baggage headerの長さが制限されない問題への対応です。

• securitygithub.com/klauspost/compress の更新

  github.com/klauspost/compressをv1.18.6からv1.18.7へ更新しました。GO-2026-5841およびGHSA-259r-337f-4rfwに関連する、s2の範囲外読み取りへの対応です。

要対応 (3)

• securitymediumredoc/dompurify を v3.4.0 に更新

  /ui の redoc/dompurify を v3.4.0 に更新し、CVE-2026-41240 の修正に対応しました。

• securityformidable を v2.1.3 に更新

  依存関係の formidable を v2.1.3 に更新しました。

• breakingアプリ上部バーの auto-sync トグルを削除

  アプリ上部バーから auto-sync トグルを削除しました。

要対応 (1)

• securityhighform-data の CVE-2026-12143 対応

  /ui の form-data を 4.0.6 に更新し、CVE-2026-12143 に対応しました。

要対応 (2)

• securitygoogle.golang.org/grpc の更新

  google.golang.org/grpc を v1.82.1 に更新しました。

• securityvulnerability-updates の更新

  vulnerability-updates を更新しました。

要対応 (2)

• securitygoogle.golang.org/grpc を v1.82.1 に更新

  セキュリティ対応として、モジュール google.golang.org/grpc を v1.82.1 に更新しました。

• securityvulnerability-updates を更新

  セキュリティ関連の vulnerability-updates を更新しました。

要対応 (3)

• securityセキュリティ依存関係の更新

  セキュリティ関連の依存関係が更新されました。

• securitygoogle.golang.org/grpc の更新

  google.golang.org/grpc が v1.82.1 に更新されました。

• securityvulnerability-updates の更新

  vulnerability-updates が更新されました。

影響確認 (3)

• securityvela-system definitions のアクセス権限を明示的な許可に限定

  vela-system definitions を利用している場合に適用されます。

• securityTerraform module remote URLs の認証情報をログ出力・保存から除外

  Terraform module remote URLs を設定している場合に適用されます。

• breakingapplication definitions の未宣言パラメータを検証

  application definitions を利用している場合に適用されます。

影響確認 (1)

• securityhighGo標準ライブラリを修正版で再構築

  1.25.11 -> 1.25.12 を使用している場合に適用されます。

要対応 (1)

• securityGo 1.25.10への更新

  CVE対応のため、Go が 1.25.10 に更新されました。

要対応 (3)

• securityGo 1.25.10 への更新

  Go を 1.25.10 に更新し、CVE 対応を行いました。

• securitygolang.org/x/crypto v0.52.0 への更新

  golang.org/x/crypto を v0.52.0 に更新し、CVE 対応を行いました。

• securitygolang.org/x/net v0.55.0 への更新

  golang.org/x/net を v0.55.0 に更新し、CVE 対応を行いました。

要対応 (1)

• securityGoの1.26.4への更新

  Goを1.26.4へ更新し、CVE対応を行いました。

影響確認 (1)

• securityTerraform remote configuration loaderの無制限読み取りを防止

  Terraform remote configuration loaderを使用している場合に適用されます。

影響確認 (1)

• securityTerraformリモート設定ローダーの無制限読み取り対策

  Terraformのリモート設定ローダーを利用している場合に適用されます。

要対応 (2)

• securityinfinispan の更新

  既知の脆弱性への対応として、infinispan が ^0.12.0 から ^0.13.0 に更新されました。

• breakingjson-schema ランタイム依存関係の削除

  未使用の json-schema ランタイム依存関係が削除されました。

要対応 (1)

• securitycriticalgoogle.golang.org/grpcを1.79.3へ更新

  google.golang.org/grpcを1.77.0から1.79.3に更新しました。:pathヘッダーの先頭スラッシュ欠落によるgRPC-Goの認可バイパスに関するCVE-2026-33186に対応しています。

要対応 (1)

• securitycriticalgoogle.golang.org/grpc のCVE修正

  google.golang.org/grpc の更新で CVE-2026-33186 を修正しました。

要対応 (1)

• securitymediumUIの redoc/dompurify 更新

  UIで使用する redoc/dompurify を v3.4.0 に更新し、CVE-2026-41240 の修正を取り込みました。

影響確認 (1)

• securitymediumredoc/dompurify の更新による CVE-2026-41240 対応

  redoc/dompurify を /ui で使用している場合に適用されます。

要対応 (1)

• securitymediumgo-gitのCVE-2026-45571修正

  go-gitのCVE-2026-45571を修正しました。

要対応 (2)

• securityModule Federation パッケージの v2.3.3 更新

  既知の脆弱性に対応するため、Module Federation パッケージが v2.3.3 に更新されました。

• breaking@remixicon/react の依存バージョン制限

  ライセンス変更により、@remixicon/react の依存バージョンは 4.9.0 未満に制限されました。

要対応 (1)

• securityGo 1.25.9への更新

  release-3.3 の Go を 1.25.9 に更新し、CVEs の解消を図ります。

要対応 (1)

• securityhighgo-git の v5.19.0 への更新

  go-git を v5.19.0 に更新し、CVE-2026-45022 を修正しました。関連するアドバイザリは GHSA-389r-gv7p-r3rp です。

要対応 (4)

• securityk8s.io/kubernetes を v1.34.2 に更新

  k8s.io/kubernetes が v1.34.2 に更新されました。

• securityhelm を 3.19.4 に更新

  cve 対応のため、helm が 3.19.4 に更新されました。

• breakinggRPC サービス設定の DNS TXT 参照をデフォルトで無効化

  gRPC service config DNS TXT lookups は、デフォルトで無効になりました。

• breakingApplicationSet リソースステータス件数のデフォルト値を 5000 に変更

  appset resource status count のデフォルト値が 5000 に変更されました。

要対応 (1)

• securitydependabotのセキュリティアラート解消

  dependabotが報告したセキュリティアラートを解消しました。

要対応 (1)

• security未解決の Dependabot セキュリティアラートへの対応

  未解決だった Dependabot のセキュリティアラートに対応しました。

要対応 (2)

• securitycriticalGHSA-3v3m-wc6v-x4x3 のセキュリティ修正

  GHSA-3v3m-wc6v-x4x3 に関するセキュリティ修正が含まれています。

• securitygo バージョンの更新

  go のバージョンが更新され、CVEs の解消が図られています。

要対応 (1)

• securitycriticalGHSA-3v3m-wc6v-x4x3 に対するセキュリティ修正

  GHSA-3v3m-wc6v-x4x3 に識別される脆弱性に対するセキュリティ修正が含まれています。

影響確認 (1)

• securityBackstageカタログ関連パッケージのセキュリティ修正

  @backstage/plugin-catalog-backend-module-unprocessed、@backstage/plugin-catalog-unprocessed-entities-common version、または@backstage/plugin-catalog-unprocessed-entitiesを使用している場合に適用されます。

要対応 (4)

• securityhighglobとrollupの脆弱性に対応

  globをv13へ、rollupをv4.59以降へ更新しました。旧バージョンのglobの脆弱性と、GHSA-mw96-cpmx-2vgcに該当するrollupのパストラバーサル脆弱性に対応しています。

• securityglobをv13へ更新

  globの依存バージョンをv7/v8/v11からv13へ更新し、旧バージョンのセキュリティ脆弱性に対応しました。

• securityrollupをv4.59以降へ更新

  rollupをv4.27からv4.59以降へ更新し、パストラバーサル脆弱性（GHSA-mw96-cpmx-2vgc）を修正しました。

• securityOAuth保護リソースURLを修正

  .well-known/oauth-protected-resourceのリソースURLをRFC 9728 Section 7.3に準拠する形へ修正し、動的なリソースパスに対応しました。

要対応 (1)

• securityvulnerability-updates の更新

  セキュリティ関連の変更として、vulnerability-updates が更新されました。

要対応 (2)

• securityvulnerability-updatesの更新

  vulnerability-updatesを更新しました。関連するIssueは#1933、コミットは04338dcです。

• securityvulnerability-updatesの更新

  vulnerability-updatesを更新しました。関連するIssueは#1934、コミットは40d444aです。

要対応 (2)

• securityvulnerability-updates の更新

  vulnerability-updates を更新しました。関連する追跡項目は #1933 で、コミットは 04338dc です。

• securityvulnerability-updates の更新

  vulnerability-updates を更新しました。関連する追跡項目は #1934 で、コミットは 40d444a です。

要対応 (1)

• securitygithub.com/go-jose/go-jose/v4のv4.1.4への更新

  github.com/go-jose/go-jose/v4をv4.1.4へ更新しました。セキュリティ対応に伴う変更です。

要対応 (1)

• securitygithub.com/go-jose/go-jose/v4をv4.1.4へ更新

  github.com/go-jose/go-jose/v4をv4.1.4へ更新しました。

要対応 (1)

• securitygithub.com/go-jose/go-jose/v4 の更新

  セキュリティ対応として、github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。