OpenFGA

v1.11.3Security

2026년 1월 28일

설정과 관측 기능이 보강되고 요청 처리와 메트릭 동작이 조정된 릴리스입니다. 정책 적용 오류를 포함한 정확성 문제가 수정되었습니다.

조치 필요 (1)

securitymedium정책 적용 오류 수정
정책 적용 오류를 수정했습니다. 수정 대상은 CVE-2026-24851 및 GHSA-jq9f-gm9w-rwm9에 연결된 문제입니다.

breaking사용자 정의 grpc_code 라벨 제거
메트릭의 grpc_code 라벨에 의존하는 경우에 적용됩니다.
사용자 정의 grpc_prometheus 포크를 제거하고 go-grpc-middleware의 프로바이더로 교체했습니다. 이 메트릭에서 사용자 정의 grpc_code 라벨도 제거됩니다.

그 외 기록된 변경 9건 전체fixes 4 · additions 2 · value changes 2 · constraints 1

ListUsers will now properly get datastore throttled if enabled.
Cache controller now uses the logger provided to the server instead of always using a no-op logger.
Typesystem invalidate model with empty intersection and union.
Ordered iterator to iterate tuples correctly.

Add configuration option to limit max type system cache size.
Add configurable server-side validation for ReadChanges page size. The default max page size remains 100 to maintain backward compatibility, and can be configured via --readChanges-max-page-size CLI flag or OPENFGA_READ_CHANGES_MAX_PAGE_SIZE environment variable.

Datastore throttling separated from dispatch throttling in BatchCheck, ListUsers metadata.
throttling_type label added to throttledRequestCounter metric to differentiate between dispatch/datastore throttling.

OpenFGA 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치와 브레이킹 체인지 같은 것들입니다.