릴리스

조치 필요 (8)

• securitymediumgolang.org/x/image 보안 업데이트

  GO-2026-4962에 대응하기 위해 golang.org/x/image를 v0.39.0으로 올렸습니다.

• securitydurabletask-go 및 pgx 보안 업데이트

  durabletask-go를 v0.12.1로 올리고 pgx를 업데이트해 취약점을 해결했습니다.

• breakingWorkflowsRemoteActivityReminder 기본 활성화

  WorkflowsRemoteActivityReminder가 기본으로 활성화됩니다. 앱 간 워크플로 활동 결과는 기본적으로 스케줄러 알림으로 전달됩니다.

• breakingHotReload 기본 활성화

  HotReload가 기본으로 활성화되며, 컴포넌트, 구독, MCPServers, Configurations, HTTPEndpoints, Resiliencies, WorkflowAccessPolicies가 기본적으로 자동 다시 로드됩니다.

• breaking사이드카 프로브 기본 동작 변경

  사이드카 프로브 기본값이 바뀌었습니다. 라이브니스 프로브는 kubelet이 다시 시작하기 전까지 약 230초 동안 지연을 견디며, 레디니스 프로브는 더 빠르게 반응합니다.

• breakingHotReload 기본 활성화

  HotReload가 기본적으로 켜집니다.

• breaking라이브니스 및 레디니스 프로브 기본값 조정

  라이브니스 프로브의 허용 범위를 넓히고 레디니스 프로브의 기본값을 더 엄격하게 조정했습니다.

• breaking사이드카 프로브 기본값 변경

  사이드카 프로브 기본값이 바뀌었습니다. 라이브니스는 kubelet이 다시 시작하기 전까지 약 230초를 허용하고, 레디니스는 컨트롤 플레인에서 약 3초, daprd에서 약 5초로 더 엄격해졌습니다.

영향 확인 (1)

• securitySentry OIDC 디스커버리의 전달 호스트 검증 제한

  Sentry OIDC를 사용하는 경우에 적용됩니다.

  handleDiscovery는 --oidc-allowed-hosts가 설정되어 허용 호스트 미들웨어가 운영자의 허용 목록과 대조해 헤더를 검증한 경우에만 X-Forwarded-Host를 사용합니다. 허용 목록이 없으면 발급자와 jwks_uri를 r.Host에서만 가져오고 해당 헤더는 무시합니다.

영향 확인 (1)

• breaking액터 drainOngoingCallTimeout 제약 조정

  애플리케이션이 액터 drainOngoingCallTimeout 값을 설정했고, 그 값이 기본 30초인 daprd 측 placement 전파 타임아웃 이상인 경우에 적용됩니다.

  애플리케이션이 설정한 액터 drainOngoingCallTimeout 값이 기본 30초인 daprd 측 placement 전파 타임아웃 이상일 때 적용되는 제약이 조정되었습니다.

조치 필요 (1)

• securityGo 버전 업데이트

  Go 버전이 1.25.8에서 1.25.9로 업데이트되었습니다.

조치 필요 (1)

• securitycriticalgRPC 의존성 보안 업데이트

  영향받은 google.golang.org/grpc 의존성이 CVE-2026-33186을 해결하는 버전으로 올라갔습니다.

조치 필요 (3)

• securityhighGo 툴체인 1.25.8 업데이트

  저장소의 모든 모듈과 Docker 이미지에서 Go 툴체인을 1.24.13에서 1.25.8로 업데이트했습니다.

• securitymediumhtml/template URL 이스케이프 누락 수정

  html/template에서 meta content attribute의 action URL을 이스케이프하지 않던 문제를 수정했습니다. 조작된 URL을 통한 XSS 가능성이 줄어듭니다.

• securitylowos의 FileInfo 경계 이탈 수정

  os의 FileInfo가 Root 경계를 벗어날 수 있던 문제를 수정했습니다. 이로 인해 의도한 디렉터리 밖의 파일에 접근할 가능성이 있었습니다.

조치 필요 (9)

• security암호화 의존성 버전 갱신

  x/(net/sync/crypto)를 업데이트하고 dvsekhvalnov/jose2go 버전을 고정했습니다.

• securityGo 취약점 수정

  Go의 취약점을 수정했습니다.

• securityUID 검사 대상 제한

  UID 검사가 root만 확인하도록 바뀌었습니다.

• securityHTTP 경로 일치 수정과 invocation auto-registration 지원

  HTTP 경로 일치에서 발생하던 cardinality leak을 수정하고 invocation auto-registration을 지원합니다.

• securitygolang.org/x/crypto 업데이트

  golang.org/x/crypto를 업데이트했습니다.

• securitygithub.com/docker/docker 업데이트

  github.com/docker/docker를 업데이트했습니다.

• security보안 취약점 수정

  보안 취약점 수정이 반영되었습니다.

• securitygithub.com/coreos/go-oidc/v3 업데이트

  github.com/coreos/go-oidc/v3를 업데이트했습니다.

• securityNATS 취약점 수정

  NATS 취약점을 수정했습니다.