← Dev News

Dev News — 18 Sep 2026: Safari 27 lands loaded, Deno hardens permissions, Electron patches a UAF

Lo nuevo hoy

Today's highlights

Points forts du jour

Click en cualquiera para ir al detalle

Click any item to jump to the full section

Cliquez un élément pour aller à la section complète

🔥

Top Stories

Breaking

WebKit publica las features de Safari 27.0: stretch, alpha(), JSPI y un module loader reescrito

Esto es ENORME. En CSS entran la keyword stretch para llenar el eje disponible, anchor positioning que ahora sigue anclas transformadas, la función alpha() para ajustar transparencia y un color-mix() que acepta varios colores. En HTML, el elemento <model> se extiende a iOS, iPadOS y macOS, sizes acepta la keyword auto en imágenes responsive, y los declarative shadow roots soportan shadowrootslotassignment. En plataforma: scroll anchoring para que el contenido no salte cuando carga algo arriba del viewport, las static routing APIs de Service Worker, y JSPI en WebAssembly. Y ojo con esto: reescribieron completo el ES module loader para cumplir el estándar, con lo cual el top-level await finalmente deja de romperse. El 86% de los cambios son las 844 issues resueltas — este release es de calidad, no de humo.

17 Sep 2026
webkit.org →
Seguridad

Deno 2.9.7 tapa una tanda de agujeros en el sandbox de permisos

Leído como patch parece aburrido, pero mirá la lista: ahora se chequea la IP resuelta contra la deny list de red en tcp_wrap bind, se validan los orígenes y las rutas de registry de los tarballs del lockfile, node:sqlite rechaza paths que sean symlink, se limpian los grupos suplementarios antes de cambiar de identidad en process, y las membresías multicast pasan por chequeo de permisos. Todo eso son escapes del sandbox que ya no están. Además hay fixes de compat en node:dns, el audit respeta los CA stores configurados y se arregla el import de lockfiles de pnpm contra archivos del mundo real. Si corrés Deno con permisos granulares — y deberías — actualizá.

17 Sep 2026
github.com/denoland/deno →
Seguridad

Electron backportea un use-after-free de WebUSB a cuatro ramas a la vez

Salieron 44.4.2, 43.7.2, 42.11.5 y 45.0.0-alpha.8 casi al mismo tiempo, y las cuatro traen el mismo fix: un use-after-free potencial cuando un handler de select-usb-device destruye el webContents que hizo el pedido. Cuando el equipo de Electron parchea la misma cosa en todas las ramas soportadas el mismo día, no es un detalle. La 44.4.2 además sube Chromium a 152.0.7977.130 y la alpha de 45 a 155.0.8046.0, con backports de ANGLE, Skia y V8. Si tu app usa WebUSB, esto va primero en la cola.

18 Sep 2026
github.com/electron/electron →
🧩

JS Frameworks

Destacado

TanStack Charts entra en alpha con una gramática de gráficos framework-agnostic

Tanner Linsley y el equipo de TanStack sacaron una librería de visualización para TypeScript que no te da componentes de gráfico prearmados: componés marks, escalas, canales, transforms y capas, y los marks leen tipados directo de tu estructura de datos. La misma definición renderiza en React, Preact, Vue, Solid, Svelte, Angular, Lit y un host de DOM vanilla, en servidor o en browser, más un adapter experimental de React Native. Ya va por ~160k descargas semanales estando en alpha, pero la guía de estabilidad lo dice claro: nada de producción todavía, y pineá versiones exactas.

17 Sep 2026
infoq.com →
Beta

TanStack Router y Start para Solid llegan a RC.8 sobre solid-js 2.0

El track de Solid sigue avanzando: @tanstack/solid-router y @tanstack/solid-start quedaron en 2.0.0-rc.8, ya apoyados en [email protected]. Lo interesante son dos cambios de Ryan Solid: el router ahora consume metadata de respuesta de server functions, y declara las navegaciones al observe tier de Solid. Además se arreglaron los listeners de intent-preload cuando el preloading está apagado, y se preservan los roles del caller en links habilitados.

17 Sep 2026
github.com/TanStack/router →
Beta

solid-query 6.0.0-rc.4 arregla queries removidas y el cierre de SSR

Tres fixes chicos pero molestos: ya no se re-crea ni se refetchea una query que fue removida, el SSR termina bien cuando leés una query deshabilitada, y el barrido de X-Revalidate dejó de usar un slice — ahora * queda reservado para «todo». Si estás en el RC de Solid Query, este es el que querés.

17 Sep 2026
github.com/TanStack/query →
⚛️

React

Destacado

Next.js 16.4.0-canary.35: GC configurable en Turbopack y salto a swc v79

La canary de hoy trae opciones de configuración para el garbage collector de Turbopack, algo que importa bastante si tenés dev servers largos que se comen la RAM. Además: lzzzz reemplazado por lz4_flex, bump a swc v79, tracking de archivos de build dependency en webpack loaders, y un buen laburo de performance en turbo-persistence (meta files shardeados por familia, región densa para búsquedas de key blocks). También arreglaron la propagación de metadata en nested caches deduplicados y un prefetch de runtime innecesario con prefetch={true}.

17 Sep 2026
github.com/vercel/next.js →
🔧

Build Tools & Runtimes

Destacado

Rspack 2.2.6: tanda gorda de performance en code splitting y escaneo de CSS

Seis PRs de performance de una: BigUint reemplazado por FixedBitSet en el code splitter, SsoHashSet para membresías de chunk de módulos chicos, escaneo de strings y URLs de CSS vectorizado con memchr, preparación de candidatos de SplitChunks simplificada, dependencias de loaders trackeadas con sets, y recolección diferida de timestamps internos de Watchpack. Además soporte de campos custom de buildInfo en parallel loaders y un fix para que los source maps de módulos sean independientes del contexto.

17 Sep 2026
github.com/web-infra-dev/rspack →
Release

Wrangler 4.134.0: Issues en tiempo real, preview en open beta e imágenes de Container nombradas

Tres cosas para anotar. Primero, observability.issues.enabled: Wrangler ahora valida y sube la configuración de Issues en tiempo real junto a logs y traces. Segundo, los comandos wrangler preview pasaron a open beta y lo dicen en el help. Tercero, en desarrollo local podés elegir explícitamente una imagen de Container nombrada: Wrangler la buildea o la pullea desde tu config JSON/TOML, expone los tags locales en ctx.container.images y le pasás la referencia a ctx.container.start({ image }). Es opt-in y no se convierte en la imagen por defecto.

17 Sep 2026
github.com/cloudflare/workers-sdk →
🔥

Top Stories

Breaking

WebKit publishes the Safari 27.0 feature set: stretch, alpha(), JSPI and a rewritten module loader

This is a big one. CSS gets the stretch keyword for filling the available axis, transform-aware anchor positioning, an alpha() function for adjusting transparency and a color-mix() that accepts multiple colors. On the HTML side the <model> element extends to iOS, iPadOS and macOS, responsive images accept an auto keyword for sizes, and declarative shadow roots support shadowrootslotassignment. Platform-wise: scroll anchoring so content stops jumping when something loads above the viewport, Service Worker static routing APIs, and JSPI in WebAssembly. The headline for module authors: the ES module loader was rewritten from scratch for standards compliance, which finally fixes top-level await. 844 resolved issues make up 86% of the changes — this is a quality release.

17 Sep 2026
webkit.org →
Security

Deno 2.9.7 plugs a batch of holes in the permission sandbox

It reads like a patch release, but look at the list: the resolved IP is now checked against the net deny list in tcp_wrap bind, lockfile tarball origins and registry paths are validated, node:sqlite refuses symlink database paths, process clears supplementary groups before changing identity, and multicast membership goes through a permission check. Those are sandbox escapes that no longer exist. There is also node:dns compat work, deno audit honoring configured CA stores, and a fix for importing real-world pnpm lockfiles. If you run Deno with granular permissions — and you should — update.

17 Sep 2026
github.com/denoland/deno →
Security

Electron backports a WebUSB use-after-free fix to four branches at once

44.4.2, 43.7.2, 42.11.5 and 45.0.0-alpha.8 all shipped within the same hour, and all four carry the same fix: a potential use-after-free when a select-usb-device handler destroys the requesting webContents. When the Electron team patches the same thing across every supported branch on the same day, that is not a footnote. 44.4.2 also bumps Chromium to 152.0.7977.130 and the 45 alpha to 155.0.8046.0, with ANGLE, Skia and V8 backports. If your app touches WebUSB, this goes to the front of the queue.

18 Sep 2026
github.com/electron/electron →
🧩

JS Frameworks

Notable

TanStack Charts enters alpha with a framework-agnostic grammar of graphics

Tanner Linsley and the TanStack team shipped a TypeScript visualization library that deliberately does not hand you pre-built chart components: you compose marks, scales, channels, transforms and layers, and marks read straight from your data structure with the types intact. The same chart definition renders across React, Preact, Vue, Solid, Svelte, Angular, Lit and a vanilla DOM host, on the server or in the browser, plus an experimental React Native adapter. It is already around 160k weekly downloads while still in alpha — but the stability guide is blunt: not production-ready, and pin exact versions.

17 Sep 2026
infoq.com →
Beta

TanStack Router and Start for Solid reach RC.8 on top of solid-js 2.0

The Solid track keeps moving: @tanstack/solid-router and @tanstack/solid-start are at 2.0.0-rc.8, now sitting on [email protected]. The interesting bits are two changes from Ryan Solid: the router now consumes server-function response metadata, and declares navigations to Solid's observe tier. There are also fixes for intent-preload listeners being installed when preloading is off, and for caller roles on enabled links.

17 Sep 2026
github.com/TanStack/router →
Beta

solid-query 6.0.0-rc.4 fixes removed queries and SSR completion

Three small but annoying fixes: a removed query is no longer re-created and refetched, SSR now finishes correctly when you read a disabled query, and the X-Revalidate sweep stopped using a slice — * is now reserved for «all». If you are on the Solid Query RC, this is the one you want.

17 Sep 2026
github.com/TanStack/query →
⚛️

React

Notable

Next.js 16.4.0-canary.35: configurable Turbopack GC and a jump to swc v79

Today's canary adds config options for the Turbopack garbage collector, which matters if you run long-lived dev servers that eat RAM. Also in: lzzzz replaced with lz4_flex, a bump to swc v79, webpack loader build-dependency file tracking, and a solid turbo-persistence performance pass (meta files sharded by family, a dense region for key block searches). They also fixed metadata propagation for deduplicated nested caches and an unnecessary runtime prefetch with prefetch={true}.

17 Sep 2026
github.com/vercel/next.js →
🔧

Build Tools & Runtimes

Notable

Rspack 2.2.6: a heavy performance batch across code splitting and CSS scanning

Six performance PRs in one release: BigUint replaced with FixedBitSet in the code splitter, SsoHashSet for small-module chunk memberships, CSS string and URL scanning vectorized with memchr, streamlined SplitChunks candidate preparation, loader dependencies tracked with sets, and deferred internal Watchpack timestamp collection. Plus support for custom buildInfo fields in parallel loaders and a fix making module source maps context-independent.

17 Sep 2026
github.com/web-infra-dev/rspack →
Release

Wrangler 4.134.0: real-time Issues, preview in open beta, and named Container images

Three things worth noting. First, observability.issues.enabled: Wrangler now validates and uploads the real-time Issues setting alongside logs and traces. Second, the wrangler preview commands moved to open beta and say so in help output. Third, local development can now pick an explicitly named Container image: Wrangler builds or pulls images configured in your JSON/TOML, exposes their local tags through ctx.container.images, and you pass a reference to ctx.container.start({ image }). It is opt-in and does not become the Container default.

17 Sep 2026
github.com/cloudflare/workers-sdk →
🔥

Top Stories

Breaking

WebKit publie les fonctionnalités de Safari 27.0 : stretch, alpha(), JSPI et un module loader réécrit

Un gros morceau. En CSS arrivent le mot-clé stretch pour remplir l'axe disponible, un anchor positioning conscient des transformations, la fonction alpha() pour ajuster la transparence et un color-mix() acceptant plusieurs couleurs. Côté HTML, l'élément <model> s'étend à iOS, iPadOS et macOS, sizes accepte le mot-clé auto, et les declarative shadow roots supportent shadowrootslotassignment. Côté plateforme : scroll anchoring, les static routing APIs de Service Worker, et JSPI dans WebAssembly. Surtout, le chargeur de modules ES a été entièrement réécrit pour la conformité au standard, ce qui corrige enfin top-level await. 844 issues résolues représentent 86% des changements.

17 Sep 2026
webkit.org →
Sécurité

Deno 2.9.7 comble une série de trous dans le sandbox de permissions

Cela ressemble à un simple patch, mais regardez la liste : l'IP résolue est désormais vérifiée contre la deny list réseau dans le bind tcp_wrap, les origines et chemins de registry des tarballs du lockfile sont validés, node:sqlite refuse les chemins symlink, process nettoie les groupes supplémentaires avant de changer d'identité, et l'appartenance multicast passe par un contrôle de permissions. Autant d'évasions de sandbox désormais fermées. S'y ajoutent des corrections de compatibilité node:dns et l'import de lockfiles pnpm réels.

17 Sep 2026
github.com/denoland/deno →
Sécurité

Electron rétroporte un correctif use-after-free WebUSB sur quatre branches

44.4.2, 43.7.2, 42.11.5 et 45.0.0-alpha.8 sont sortis dans la même heure, tous porteurs du même correctif : un use-after-free potentiel lorsqu'un handler select-usb-device détruit le webContents demandeur. Quand l'équipe Electron corrige la même chose sur toutes les branches supportées le même jour, ce n'est pas un détail. 44.4.2 passe aussi Chromium en 152.0.7977.130 et l'alpha 45 en 155.0.8046.0.

18 Sep 2026
github.com/electron/electron →
🧩

JS Frameworks

Notable

TanStack Charts entre en alpha avec une grammaire graphique agnostique

Tanner Linsley et l'équipe TanStack sortent une librairie de visualisation TypeScript qui ne fournit volontairement pas de composants de graphique préfabriqués : on compose des marks, échelles, canaux, transforms et couches, et les marks lisent directement la structure de données en conservant les types. La même définition s'affiche sur React, Preact, Vue, Solid, Svelte, Angular, Lit et un host DOM vanilla, plus un adapter React Native expérimental. Déjà ~160k téléchargements hebdomadaires, mais toujours en alpha : pas pour la production.

17 Sep 2026
infoq.com →
Bêta

TanStack Router et Start pour Solid atteignent RC.8 sur solid-js 2.0

La piste Solid avance : @tanstack/solid-router et @tanstack/solid-start passent en 2.0.0-rc.8, désormais basés sur [email protected]. Deux changements signés Ryan Solid : le router consomme les métadonnées de réponse des server functions et déclare les navigations à l'observe tier de Solid. S'ajoutent des correctifs sur les listeners d'intent-preload et les rôles du caller.

17 Sep 2026
github.com/TanStack/router →
Bêta

solid-query 6.0.0-rc.4 corrige les queries supprimées et la fin du SSR

Trois correctifs petits mais pénibles : une query supprimée n'est plus recréée ni refetchée, le SSR se termine correctement lors de la lecture d'une query désactivée, et le balayage X-Revalidate n'utilise plus de slice — * est réservé à « tout ».

17 Sep 2026
github.com/TanStack/query →
⚛️

React

Notable

Next.js 16.4.0-canary.35 : GC configurable dans Turbopack et passage à swc v79

La canary du jour ajoute des options de configuration pour le garbage collector de Turbopack, ce qui compte pour les dev servers de longue durée. Également : lzzzz remplacé par lz4_flex, passage à swc v79, suivi des fichiers de build dependency dans les webpack loaders, et un beau travail de performance sur turbo-persistence. Correctifs aussi sur la propagation de métadonnées et un prefetch runtime inutile avec prefetch={true}.

17 Sep 2026
github.com/vercel/next.js →
🔧

Build Tools & Runtimes

Notable

Rspack 2.2.6 : gros lot de performance sur le code splitting et le scan CSS

Six PRs de performance d'un coup : BigUint remplacé par FixedBitSet dans le code splitter, SsoHashSet pour les appartenances de chunk des petits modules, scan des strings et URLs CSS vectorisé avec memchr, préparation des candidats SplitChunks simplifiée, dépendances de loaders suivies par sets, et collecte différée des timestamps Watchpack. S'ajoutent les champs buildInfo custom dans les parallel loaders.

17 Sep 2026
github.com/web-infra-dev/rspack →
Release

Wrangler 4.134.0 : Issues en temps réel, preview en open beta et images de Container nommées

Trois points à retenir. D'abord observability.issues.enabled : Wrangler valide et envoie désormais le réglage Issues en temps réel aux côtés des logs et traces. Ensuite, les commandes wrangler preview passent en open beta. Enfin, le développement local permet de choisir explicitement une image de Container nommée, exposée via ctx.container.images et passée à ctx.container.start({ image }).

17 Sep 2026
github.com/cloudflare/workers-sdk →