Dapr

v1.18.2Orchestration & Management

2026년 7월 21일

Dapr v1.18.2는 워크플로우 상태 관리, 액터 동시성 및 컴포넌트 초기화를 다루는 버그픽스 롤업이며, 중간 심각도 CVE 의존성 두 개(go-chi 및 MongoDB 드라이버)를 포함합니다. 이는 드롭인 업데이트입니다. 워크플로우 메트릭 라벨링 및 인스턴스 ID 재사용 오류 처리에 두 가지 주요 변경사항이 있습니다.

securitygo-chi HTTP 라우팅 라이브러리 CVE-2025-69725 수정
go-chi/chi의 CVE-2025-69725는 v5.2.2에서 v5.2.4로의 의존성 업데이트로 v1.18.2에서 수정됩니다. 동작 변화가 없는 드롭인 업데이트입니다.
securityMongoDB 드라이버 CVE-2026-2303 수정
MongoDB Go 드라이버의 CVE-2026-2303는 go.mongodb.org/mongo-driver를 v1.14.0에서 v1.17.7로 고정함으로써 v1.18.2와 함께 제공되는 components-contrib v1.18.3에서 수정됩니다. MongoDB 상태 저장소를 사용하는 배포에 적용되며 동작 변화가 없는 드롭인 업데이트입니다.
breaking워크플로우 실행 메트릭 레이블 변경
dapr_runtime_workflow_execution_count 메트릭 레이블이 이제 종료된 워크플로우(status=terminated)와 실패한 워크플로우(status=failed)를 정확히 구분합니다. 이전에는 둘 다 failed로 보고되었습니다. 이전 레이블 의미론에 의존하는 쿼리와 알림을 업데이트해야 합니다.
breaking워크플로우 인스턴스 ID 재사용 충돌 감지 적용
이미 실행 중인 자식 워크플로우가 사용하고 있는 인스턴스 ID로 워크플로우 인스턴스를 생성할 때, 무한 대기 대신 즉시 충돌 오류로 거부됩니다. 실행 중인 자식 워크플로우를 포함하는 인스턴스 ID를 재사용하는 배포에 적용됩니다.
enhancement액터 리마인더 및 작업 명명 검증 완화
리마인더 이름, 작업 이름 및 액터 식별자는 슬래시(/), 백슬래시(\), 해시(#), 물음표(?), 제어 문자(NUL 포함) 및 정확한 경로 시퀀스(.), (..)를 제외한 거의 모든 문자를 포함할 수 있습니다. 스케줄러 기반 액터 리마인더를 사용할 때 적용됩니다.

주요 변경 (9)

보안: CVE-2025-69725 (go-chi/chi v5.2.4)와 CVE-2026-2303 (MongoDB 드라이버 v1.17.7) 수정
워크플로우 실행 메트릭이 종료와 실패를 구분하도록 변경, 레이블 의미론 변경됨
실행 중인 자식을 포함한 워크플로우 인스턴스 ID 재사용이 대기 대신 충돌 오류로 거부됨
액터 리마인더/작업 명명 검증 완화, /\#?와 제어 문자를 제외한 대부분의 문자 허용
SPIFFE SVID 소스가 컴포넌트 작업 컨텍스트에 전파되어 작업 단위 SPIFFE 기반 인증 가능
시크릿 참조 자격증명을 가진 MCPServer가 더 이상 약 60초마다 리로드되지 않음
IAM Roles Anywhere X.509가 전체 인증서 체인 전송, SVID 만료 후 자격증명 새로고침 수정
Kafka 헬스 프로브 및 메타데이터 옵션 추가 (dialTimeout, readTimeout, writeTimeout 등), 기본값 유지
추가 ~7개 수정: gRPC 스트리밍 액터(앱 포트 불필요), 서브밀리초 레이턴시 히스토그램, 무관한 Configuration 리소드, 시작 바인드 레이스, 동시 액터 타이머, 워크플로우 히스토리 nil 포인터 충돌, 자식 워크플로우 종료 상태 지속성

Dapr 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치와 브레이킹 체인지 같은 것들입니다.

스택에 추가 →

원문 ↗Dapr 릴리즈 전체 →