릴리스

조치 필요 (1)

• breakingJWT 크기 1MB 제한

  JWT 크기 제한을 1MB로 설정했습니다.

조치 필요 (1)

• breakingJWT 크기 1MB 제한

  JWT 크기 제한이 이제 1MB로 설정됩니다.

영향 확인 (1)

• securitymedium조건부 캐시 결과 오류를 일으키는 보안 취약점 수정

  Check 요청에서 조건을 사용하고 캐싱이 활성화된 경우에 적용됩니다.

영향 확인 (2)

• securityenvoy 관리자 소켓 접근 권한 수정

  envoy를 실행하는 경우에 적용됩니다.

• security로컬 백엔드의 ingress policies 우회 수정

  ingress policies와 local backends를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• securityenvoy admin socket의 공개 접근 문제 수정

  Envoy가 실행 중인 경우 적용됩니다.

조치 필요 (4)

• securitycriticalgoogle.golang.org/grpc 1.79.3 업데이트

  CVE-2026-33186을 해결하기 위해 google.golang.org/grpc를 1.79.3으로 업데이트했습니다.

• securityhigh여러 API의 권한 확인 우회 수정

  여러 API에서 발생하던 권한 확인 우회를 수정했습니다. 이 문제는 CVE-2026-33413 및 GHSA-q8m4-xhhv-38mg로 식별됩니다.

• securityhighgo.opentelemetry.io/otel/sdk v1.40.0 업데이트

  go.opentelemetry.io/otel/sdk를 v1.40.0으로 업데이트했습니다. 관련 보안 권고는 GO-2026-4394입니다.

• securityhighgolang.org/x/net v0.51.0 업데이트

  GO-2026-4559를 해결하기 위해 golang.org/x/net을 v0.51.0으로 업데이트했습니다.

조치 필요 (3)

• securitycriticalgoogle.golang.org/grpc 업데이트

  google.golang.org/grpc를 1.79.3으로 올려 CVE-2026-33186을 해결했습니다.

• securityhighgo.opentelemetry.io/otel/sdk 업데이트

  go.opentelemetry.io/otel/sdk를 v1.40.0으로 올려 GO-2026-4394를 해결했습니다.

• securityhighgolang.org/x/net 업데이트

  golang.org/x/net을 v0.51.0으로 올려 GO-2026-4559를 해결했습니다.

조치 필요 (3)

• securityhighGo 툴체인 1.25.8 업데이트

  저장소의 모든 모듈과 Docker 이미지에서 Go 툴체인을 1.24.13에서 1.25.8로 업데이트했습니다.

• securitymediumhtml/template URL 이스케이프 누락 수정

  html/template에서 meta content attribute의 action URL을 이스케이프하지 않던 문제를 수정했습니다. 조작된 URL을 통한 XSS 가능성이 줄어듭니다.

• securitylowos의 FileInfo 경계 이탈 수정

  os의 FileInfo가 Root 경계를 벗어날 수 있던 문제를 수정했습니다. 이로 인해 의도한 디렉터리 밖의 파일에 접근할 가능성이 있었습니다.

영향 확인 (8)

• securitymediumOIDC Dynamic Client Registration의 SSRF 수정

  OIDC Dynamic Client Registration을 사용하는 경우에 적용됩니다.

• securitymediumrealm 클라이언트 생성 및 삭제의 IDOR 수정

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• securitymediummanage-clients permission을 통한 권한 상승 수정

  manage-clients permission을 설정한 경우에 적용됩니다.

• 릴리스 페이지에 5건 더

조치 필요 (1)

• security에이전트 수준 선택자 기록 중단

  민감한 정보가 유출될 가능성을 막기 위해 에이전트 수준에서 선택자를 더 이상 기록하지 않습니다. (#6732)

조치 필요 (3)

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 충돌하던 문제를 수정했습니다. 이 수정은 CVE-2026-26310 및 GHSA-3cw6-2j68-868p와 관련됩니다.

• securitymedium문자열 null 종료 문자 쓰기 오류 수정

  문자열의 null 종료 문자를 손상시킬 수 있던 하나 차이 쓰기 오류를 수정했습니다. 이 수정은 CVE-2026-26309 및 GHSA-56cj-wgg3-x943와 관련됩니다.

• securitymedium하위 연결 초기화 뒤 decode* 메서드 차단

  하위 연결이 초기화된 뒤 decode* 메서드가 실행되지 않도록 차단했습니다. 이 수정은 CVE-2026-26311 및 GHSA-84xm-r438-86px와 관련됩니다.

조치 필요 (3)

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  CVE-2026-26310 (GHSA-3cw6-2j68-868p)와 관련해 범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 발생하던 충돌을 수정했습니다.

• securitymedium문자열 null 종결자 손상 수정

  CVE-2026-26309 (GHSA-56cj-wgg3-x943)와 관련해 문자열의 null 종결자를 손상시킬 수 있던 off-by-one 쓰기를 수정했습니다.

• securitymedium하위 연결 재설정 후 decode* 실행 차단

  CVE-2026-26311 (GHSA-84xm-r438-86px)와 관련해 하위 연결이 재설정된 뒤 decode* 메서드가 실행되지 않도록 수정했습니다.

조치 필요 (1)

• securitymediumJSON 오프바이원 쓰기 수정

  CVE-2026-26309에서 JSON 오프바이원 쓰기가 발생하던 문제를 수정했습니다.

조치 필요 (7)

• securityhigh다중 값 헤더를 이용한 RBAC 우회 수정

  CVE-2026-26308에서 다중 값 헤더를 이용한 RBAC 우회 문제를 수정했습니다.

• securityhighJWKS 확인자 오류에 따른 인증 우회 수정

  CVE-2026-31837 및 GHSA-v75c-crr9-733c와 관련해 JWKS 확인자 오류로 알려진 기본 키를 사용한 인증 우회가 가능하던 문제를 수정했습니다.

• securitymedium다운스트림 리셋 이후 HTTP 디코드 메서드 처리 수정

  CVE-2026-26311과 관련해 다운스트림 리셋 이후 HTTP 디코드 메서드가 차단되도록 수정했습니다.

• securitymedium범위 지정 IPv6 주소 처리 중 충돌 수정

  범위가 지정된 IPv6 주소에서 getAddressWithPort()가 충돌하던 문제를 CVE-2026-26310 수정 사항에 반영했습니다.

• securitymediumJSON 오프바이원 쓰기 수정

  JSON 오프바이원 쓰기 오류를 수정했습니다. 이 문제는 CVE-2026-26309에 해당합니다.

• securitymediumRatelimit 응답 단계 충돌 수정

  ratelimit 응답 단계에서 충돌하던 문제를 CVE-2026-26330 수정 사항에 반영했습니다.

• securitymedium디버그 엔드포인트의 네임스페이스 간 프록시 데이터 접근 수정

  CVE-2026-31838 및 GHSA-974c-2wxh-g4ww와 관련해 디버그 엔드포인트를 통한 네임스페이스 간 프록시 데이터 접근 문제를 수정했습니다.

조치 필요 (3)

• securitymedium하위 연결 재설정 후 HTTP 디코드 처리 수정

  CVE-2026-26311에 대응해 하위 연결이 재설정된 뒤 HTTP 디코드 메서드가 차단되던 문제가 수정됐습니다.

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  CVE-2026-26310에 대응해 범위가 지정된 IPv6 주소를 getAddressWithPort()에서 처리할 때 발생하던 충돌이 수정됐습니다.

• securitymediumJSON 오프바이원 쓰기 수정

  CVE-2026-26309에 대응해 JSON 쓰기에서 발생하던 오프바이원 오류가 수정됐습니다.

조치 필요 (2)

• securityhighGo v1.25.5 업데이트

  Go를 v1.25.5로 업데이트해 CVE-2025-61727과 CVE-2025-61729를 수정했습니다.

• breakingIssuer 참조 kind와 group 기본값 복원

  issuer 참조의 kind와 group에 적용되는 기본값을 0.19.0 이전 동작으로 되돌렸습니다.

영향 확인 (3)

• securityCVE-2026-29785 수정

  leafnode compression이 활성화된 경우에 적용됩니다.

• securityCVE-2026-27889 수정

  WebSockets가 활성화된 경우에 적용됩니다.

• breakingmax_conns에 0 설정 지원

  서버 설정에서 max_conns를 지정하는 경우에 적용됩니다.

영향 확인 (2)

• securityhighCVE-2026-29785 수정

  CVE-2026-29785가 존재하고 leafnode compression이 활성화된 경우 적용됩니다.

• securityhighCVE-2026-27889 수정

  CVE-2026-27889가 존재하고 WebSockets가 활성화된 경우 적용됩니다.

조치 필요 (1)

• securityhigh빌드의 Go 1.26.1 업데이트

  빌드가 Go 1.26.1로 업데이트되며 CVE-2026-27137, CVE-2026-27138, CVE-2026-27139, CVE-2026-25679, CVE-2026-27142를 해결하는 보안 수정이 포함됩니다.

영향 확인 (4)

• securityhighCVE-2026-3047 SAML 브로커 비활성 클라이언트 인증 우회 수정

  SAML broker를 사용하고 disabled SAML client를 설정한 경우에 적용됩니다.

• securityhighCVE-2026-3009 비활성 아이덴티티 제공자 제한 적용 수정

  Disabled Identity Provider를 설정한 경우에 적용됩니다.

• securityhighCVE-2026-2603 비활성 SAML IdP 브로커 로그인 차단 수정

  Disabled SAML IdP를 설정한 경우에 적용됩니다.

• 릴리스 페이지에 1건 더

영향 확인 (1)

• security세 패키지의 보안 수정

  @backstage/plugin-techdocs-node, @backstage/integration 또는 @backstage/plugin-scaffolder-backend를 사용하는 경우에 적용됩니다.

영향 확인 (2)

• securityhttp_challenge의 SSRF 취약점 수정

  http_challenge를 사용하는 경우에 적용됩니다.

• securityx509pop의 CPU 고갈 취약점 수정

  x509pop을 사용하는 경우에 적용됩니다.

영향 확인 (2)

• securityhttp_challenge 플러그인의 SSRF 공격 문제 수정

  http_challenge 서버 노드 증명 플러그인을 사용하는 경우에 적용됩니다.

• securityx509pop 플러그인의 CPU 과다 사용 문제 수정

  x509pop 서버 노드 증명 플러그인을 사용하는 경우에 적용됩니다.