リリース

Backstage v1.53.0は、SSE MCP transport削除、設定スキーマ型検証の厳格化、認証リダイレクトURI・CIMDの厳格化、OpenAPI検証ツールのOptic→oasdiff置き換えなど、複数の重大な破壊的変更を含むフィーチャーリリースです。Catalog entity page BUI migrationがアルファサポートされ、TechDocs・Scaffolder・catalog周辺のバグ修正、user settingsストレージ・Azure DevOps webhook・Redis・S3 PrivateLinkなどの機能追加が行われていますが、アップグレード前に設定・コードの互換性確認が必須です。

• breakingSSE MCP transportの削除

  MCP actions backend with SSE transportを使用していた場合は、アップグレード前にHTTP streamableエンドポイントへの移行が必要です。

• breakingconfig-loaderの型解決が厳格化

  TypeScript設定スキーマで宣言された型インポートが新しく検証されるようになりました。無効なインポートはスキーマ読み込みを失敗させます。既存の設定ファイルで未解決の型参照がないか確認してください。

• breakingauth-backendのリダイレクトURI・CIMD検証が厳格化

  認証設定のワイルドカード処理が変更されました。ホスト・パス境界を跨ぐワイルドカード、プロトコル未指定のパターン、埋め込み認証情報を含むリダイレクトURIが無効とみなされるようになりました。auth-backendの設定を確認し、`http://localhost:*/*`のように明示的にプロトコルと範囲を指定してください。

• breakingEntityContextMenuItemBlueprintの出力仕様変更

  EntityContextMenuItemBlueprintが、レンダリング済みMUI要素ではなくメニューアイテムデータを出力するよう変更されました。icon型がIconElementになっています。catalog依存コンポーネントのメニュー実装を確認してください。

• breakingbootstrapEnvProxyAgentsとプロキシエージェント周辺の削除

  bootstrapEnvProxyAgentsとglobal-agent、undiciの依存関係が削除されました。Node環境でプロキシエージェント設定を行っている場合は、NODE_USE_ENV_PROXY環境変数の直接利用に切り替えてください。

• breakingOpenAPI検証ツールがOpticからoasdiffに変更

  OpenAPI検証ツールが@useoptic/opticからoasdiffに置き換わりました。repo-tools内のOpenAPI破壊的変更検出を使用している場合は、新しいoasdiffの動作仕様を確認してください。

• breakingOpenAPIスキーマコマンドとヘルパー関数の削除

  `package schema openapi init`、`repo schema openapi test`コマンドが削除されました。runtime検証は`@backstage/backend-openapi-utils/testUtils`の`wrapServer`で引き続き利用できます。deprecatedの`wrapInOpenApiTestServer`も削除されているため、移行スクリプトを確認してください。

Flux v2.9.2は、v2.9.1の回帰によってKustomizationがopenapi.pathのURL参照で調整に失敗する問題を修正した定期パッチです。複数のCRD説明と依存関係も修正されています。

Argo CD v3.4.5は、SSA認証調整、同期・UI関連の回帰、Dex設定環境変数の問題を修正したルーチンパッチです。破壊的変更なし。

Tekton v1.6.5はGoツールチェーンを1.25.10に更新する定期的なセキュリティパッチです。破壊的変更や新機能はありません。

• securityGo 1.25.10へのセキュリティアップデート

  Tekton v1.6.5はGoツールチェーンを1.25.10に更新し、複数のCVEを修復します。本番環境で稼働中の場合は速やかに更新してください。

Tekton v1.9.6はセキュリティ重点のパッチリリースで、Go およびgolang.org/x/cryptoとgolang.org/x/netを更新してCVE脆弱性を修正します。併せてkodata LICENSEシンボリックリンクの実ファイル化を行いました。

• securityGo およびクリプト・ネットライブラリのCVE修正

  CVE対策としてGoを1.25.10に、golang.org/x/cryptoをv0.52.0に、golang.org/x/netをv0.55.0に更新しました。これらの依存ライブラリの脆弱性を修正するため、v1.9.6へのアップグレードを推奨します。

Flux v2.9.1は、post-build変数置換がFlux自身のCRDスキーマを破損させ得た不具合を修正するパッチリリースで、SOPSの.ini復号エラーとdry-run時のstrategic merge patchエラーの修正も含む。新規の破壊的変更や非推奨化、CVEの開示はない。

• breakingpost-build変数置換によるFlux CRDスキーマ破損を修正

  事後ビルド変数置換(post-build substitution)を有効にしたKustomizationで、${...}形式の文字列がFlux自身のCRDスキーマ内のフィールドと一致する場合、CRDのスキーマが書き換えられて壊れる不具合があった。v2.9.1ではFlux CRDに`kustomize.toolkit.fluxcd.io/substitute: disabled`アノテーションを付与し、置換対象から除外することで修正している。該当する構成を使っている場合はv2.9.1へ更新を。