Dev News

Next.js patches 9 CVEs; React & Tailwind ship patches

Lo nuevo hoy

Today's highlights

Points forts du jour

Click en cualquiera para ir al detalle

Click any item to jump to the full section

Cliquez un élément pour aller à la section complète

🔥

Top Stories

Seguridad

Next.js publica el security release de julio 2026: 9 CVEs

Next.js publicó su security release de julio 2026: 9 CVEs que tocan App Router, Server Actions, Middleware y la Image Optimization API. Cuatro son de severidad alta —un DoS vía Server Actions (CVE-2026-64641), un bypass de middleware con Turbopack y locale único (CVE-2026-64642), y dos SSRF en rewrites y en Server Actions sobre custom servers. Ojo con esto: actualizá ya a v16.2.11 (Active LTS) o v15.5.21 (Maintenance LTS).

20 Jul 2026
nextjs.org →
⚛️

React

Patch

React 19.2.8, 19.1.9 y 19.0.8: perf al decodificar RSC

React sacó 19.2.8, 19.1.9 y 19.0.8 el mismo día: un patch chico con mejoras de performance al decodificar React Server Components. No cambia la API —upgrade tranquilo en las tres líneas soportadas.

21 Jul 2026
github.com/facebook/react →
🎨

CSS

Patch

Tailwind CSS v4.3.3: bug-fixes y flag --poll para el CLI

Tailwind CSS v4.3.3 es un patch de bug-fixes: nuevo flag --watch --poll[=ms] para el CLI cuando los eventos del filesystem no son confiables, matching de colores hex sin distinguir mayúsculas (bg-[#fff] = bg-[#FFF]), mejor manejo de fuentes CJK, y un fix que evita full reloads en Vite con módulos no cargados.

16 Jul 2026
github.com/tailwindlabs →
🧩

JS Frameworks

Minor

TanStack Router / Start: releases casi diarias esta semana

TanStack Router / Start mantuvo su cadencia casi diaria esta semana; el último tag del 21 de julio sube los adapters de Solid a [email protected] y [email protected]. Casi todo es mantenimiento y bumps de deps mientras las betas de v2 se acercan a stable.

21 Jul 2026
github.com/TanStack/router →
🔥

Top Stories

Security

Next.js ships its July 2026 security release: 9 CVEs

Next.js published its July 2026 security release — 9 CVEs across App Router, Server Actions, Middleware and the Image Optimization API. Four are High severity: a DoS via Server Actions (CVE-2026-64641), a Turbopack single-locale middleware bypass (CVE-2026-64642), and two SSRF vectors in rewrites and custom-server Server Actions. Patch to v16.2.11 (Active LTS) or v15.5.21 (Maintenance LTS) now.

20 Jul 2026
nextjs.org →
⚛️

React

Patch

React 19.2.8, 19.1.9 and 19.0.8: RSC decode perf

React published 19.2.8, 19.1.9 and 19.0.8 on the same day — a small patch bringing performance improvements when decoding React Server Components. No API changes; a safe upgrade across all three supported lines.

21 Jul 2026
github.com/facebook/react →
🎨

CSS

Patch

Tailwind CSS v4.3.3: bug-fixes and a --poll CLI flag

Tailwind CSS v4.3.3 lands as a bug-fix patch: a new --watch --poll[=ms] flag for the CLI when filesystem events aren’t reliable, case-insensitive hex color matching (bg-[#fff] = bg-[#FFF]), better CJK font handling, and a fix that prevents full-page reloads in Vite for unloaded modules.

16 Jul 2026
github.com/tailwindlabs →
🧩

JS Frameworks

Minor

TanStack Router / Start: near-daily releases this week

TanStack Router / Start kept up its near-daily release cadence this week, with the latest tag on Jul 21 bumping the Solid adapters to [email protected] and [email protected]. Mostly dependency and maintenance work as the v2 betas march toward stable.

21 Jul 2026
github.com/TanStack/router →
🔥

Top Stories

Sécurité

Next.js publie sa mise à jour de sécurité de juillet 2026 : 9 CVE

Next.js a publié sa mise à jour de sécurité de juillet 2026 : 9 CVE touchant App Router, Server Actions, Middleware et l’API d’optimisation d’images. Quatre sont de sévérité haute — un DoS via Server Actions (CVE-2026-64641), un contournement de middleware avec Turbopack et locale unique (CVE-2026-64642), et deux SSRF dans les rewrites et les Server Actions sur serveurs personnalisés. Corrigez vers v16.2.11 (Active LTS) ou v15.5.21 (Maintenance LTS).

20 Jul 2026
nextjs.org →
⚛️

React

Patch

React 19.2.8, 19.1.9 et 19.0.8 : perf de décodage RSC

React a publié 19.2.8, 19.1.9 et 19.0.8 le même jour : un petit patch apportant des améliorations de performance au décodage des React Server Components. Aucun changement d’API — une mise à jour sûre sur les trois lignes supportées.

21 Jul 2026
github.com/facebook/react →
🎨

CSS

Patch

Tailwind CSS v4.3.3 : correctifs et un flag --poll pour le CLI

Tailwind CSS v4.3.3 est un patch de corrections : nouveau flag --watch --poll[=ms] pour le CLI quand les événements du système de fichiers ne sont pas fiables, correspondance des couleurs hex insensible à la casse (bg-[#fff] = bg-[#FFF]), meilleure gestion des polices CJK, et un correctif évitant les rechargements complets dans Vite.

16 Jul 2026
github.com/tailwindlabs →
🧩

JS Frameworks

Mineur

TanStack Router / Start : sorties quasi quotidiennes cette semaine

TanStack Router / Start a maintenu son rythme de sorties quasi quotidien cette semaine ; le dernier tag du 21 juillet met à jour les adaptateurs Solid vers [email protected] et [email protected]. Surtout de la maintenance pendant que les bêtas v2 approchent du stable.

21 Jul 2026
github.com/TanStack/router →