Dev News — Oct 6, 2026: advisory storm (seroval, tinypool, Vue SSR) and Vite patches four branches
Vue: XSS en ssrRenderAttrs() por carriage return
GHSA-g2v6-rqmx-r4w6 (CVSS 7.2): ssrRenderAttrs() no filtra U+000D en nombres de atributo, y eso permite inyectar onfocus + autofocus que se ejecutan solos al cargar. Si renderizás atributos dinámicos con nombres que vienen del usuario, subí a 3.5.42+ o 3.6.0-rc.6+.
Angular SSR: path traversal en CommonEngine sobre Windows
GHSA-7g7c-h8rr-7p6q (medium): CommonEngine puede leer directorios hermanos cuando corre en Windows. Parches en @angular/ssr 22.1.7, 21.2.23 y 20.3.36; la 19 queda sin fix.
Astro 7.4 beta: las integraciones controlan los directorios de salida
Las integraciones ahora pueden decidir dónde escribe Astro el output de client, server y prerender, y los prerenderers custom reciben outputDirectories. Es la pieza que necesitaban los adapters de deploy (Cloudflare ya salió con 15.0.0-beta.1).
Capacitor: contenido remoto cargado en el origin de la app
GHSA-rvm3-566m-v7fv (CVSS 9.3): el path del proxy HTTP interno deja cargar contenido remoto bajo el origin de la app, con acceso al bridge nativo. Fixes en 6.2.2, 7.6.9, 8.4.3 y 8.5.1; ojo que 8.0.0–8.3.4 figura sin parche, así que saltá directo a 8.4.3+.
postcss-selector-parser: complejidad cuadrática en selectores planos
GHSA-rj75-hqrm-r3gf (CVSS 5.9): un selector armado a propósito dispara parseo cuadrático y te come la CPU. Está en el árbol de casi cualquier pipeline CSS (Tailwind, cssnano, Stylelint). Sólo pega fuerte si parseás CSS que no controlás, pero 7.1.6 es un bump trivial.
pnpm 12.9: WebContainers, networkConcurrency por registry y fix de seguridad
pnpm corre en StackBlitz WebContainers vía WebAssembly, cada entrada de registries acepta networkConcurrency, y pnpm login ya no reenvía credenciales a otro origin en redirects. La 12.9.1 (3 Oct) mueve el build wasm a @pnpm/wasm y baja el paquete de ~55 MB a ~4 MB.
oxlint 1.87: más sugerencias autofix para React
Nuevas sugerencias para react/no-unescaped-entities, react/jsx-no-target-blank y unicorn/no-useless-switch-case, más una tanda de fixes en reglas jsx-a11y. Sale junto con oxfmt 0.72.
Tendencias Destacadas
El 5 de octubre GitHub publicó decenas de advisories npm de un saque: el SSR (Vue, Angular, seroval) y las herramientas de build/test (tinypool, Nx, postcss) son la superficie de ataque frontend del momento.
Patrón a vigilar: varios fixes ya estaban publicados hace semanas y el advisory llega recién ahora. Si actualizás seguido, probablemente ya estás cubierto; si no, el lockfile te delata.
Vue: XSS in ssrRenderAttrs() via carriage return
GHSA-g2v6-rqmx-r4w6 (CVSS 7.2): ssrRenderAttrs() does not filter U+000D in attribute names, allowing injected onfocus + autofocus that fire on load with no interaction. If you render dynamic attributes with user-controlled names, move to 3.5.42+ or 3.6.0-rc.6+.
Angular SSR: path traversal in CommonEngine on Windows
GHSA-7g7c-h8rr-7p6q (medium): CommonEngine can read sibling directories when running on Windows. Patched in @angular/ssr 22.1.7, 21.2.23 and 20.3.36; v19 gets no fix.
Astro 7.4 beta: integrations control output directories
Integrations can now control where Astro writes client, server and prerender output, and custom prerenderers receive a new outputDirectories context. That is the missing piece for deployment adapters (Cloudflare already shipped 15.0.0-beta.1).
Capacitor: remote content loaded at the app origin
GHSA-rvm3-566m-v7fv (CVSS 9.3): the internal HTTP proxy path lets remote content load at the app origin, with access to the native bridge. Fixed in 6.2.2, 7.6.9, 8.4.3 and 8.5.1; 8.0.0–8.3.4 is listed without a patch, so jump straight to 8.4.3+.
postcss-selector-parser: quadratic complexity in flat selectors
GHSA-rj75-hqrm-r3gf (CVSS 5.9): a crafted selector triggers quadratic parsing and CPU exhaustion. It sits in the tree of nearly every CSS pipeline (Tailwind, cssnano, Stylelint). It only really bites if you parse untrusted CSS, but 7.1.6 is a trivial bump.
pnpm 12.9: WebContainers, per-registry networkConcurrency and a security fix
pnpm now runs in StackBlitz WebContainers via WebAssembly, each registries entry accepts networkConcurrency, and pnpm login no longer forwards credentials to another origin on redirects. 12.9.1 (Oct 3) moves the wasm build to @pnpm/wasm, shrinking the package from ~55 MB back to ~4 MB.
oxlint 1.87: more React autofix suggestions
New suggestions for react/no-unescaped-entities, react/jsx-no-target-blank and unicorn/no-useless-switch-case, plus a batch of jsx-a11y rule fixes. Ships alongside oxfmt 0.72.
Notable Trends
On October 5 GitHub published dozens of npm advisories at once: SSR (Vue, Angular, seroval) and build/test tooling (tinypool, Nx, postcss) are the frontend attack surface right now.
Pattern to watch: several fixes shipped weeks ago and the advisory only lands now. If you update regularly you are probably covered; if not, your lockfile gives you away.
Vue : XSS dans ssrRenderAttrs() via retour chariot
GHSA-g2v6-rqmx-r4w6 (CVSS 7.2) : ssrRenderAttrs() ne filtre pas U+000D dans les noms d'attributs, ce qui permet d'injecter onfocus + autofocus exécutés au chargement. Si vous rendez des attributs dynamiques aux noms contrôlés par l'utilisateur, passez en 3.5.42+ ou 3.6.0-rc.6+.
Angular SSR : path traversal dans CommonEngine sous Windows
GHSA-7g7c-h8rr-7p6q (medium) : CommonEngine peut lire des répertoires voisins sous Windows. Corrigé dans @angular/ssr 22.1.7, 21.2.23 et 20.3.36 ; la v19 n'a pas de correctif.
Astro 7.4 bêta : les intégrations contrôlent les dossiers de sortie
Les intégrations peuvent désormais choisir où Astro écrit les sorties client, server et prerender, et les prerenderers custom reçoivent un contexte outputDirectories. La pièce manquante pour les adapters de déploiement (Cloudflare est déjà en 15.0.0-beta.1).
Capacitor : contenu distant chargé sur l'origine de l'app
GHSA-rvm3-566m-v7fv (CVSS 9.3) : le chemin du proxy HTTP interne permet de charger du contenu distant sur l'origine de l'app, avec accès au bridge natif. Corrigé en 6.2.2, 7.6.9, 8.4.3 et 8.5.1 ; 8.0.0–8.3.4 n'a pas de correctif, passez directement en 8.4.3+.
postcss-selector-parser : complexité quadratique sur les sélecteurs plats
GHSA-rj75-hqrm-r3gf (CVSS 5.9) : un sélecteur forgé déclenche un parsing quadratique et épuise le CPU. Il est présent dans presque tous les pipelines CSS (Tailwind, cssnano, Stylelint). Le risque concerne surtout le CSS non fiable, mais 7.1.6 est une mise à jour triviale.
pnpm 12.9 : WebContainers, networkConcurrency par registry et un correctif de sécurité
pnpm tourne dans les WebContainers de StackBlitz via WebAssembly, chaque entrée registries accepte networkConcurrency, et pnpm login ne transmet plus les identifiants à une autre origine lors des redirections. La 12.9.1 (3 oct.) déplace le build wasm dans @pnpm/wasm, ramenant le paquet de ~55 Mo à ~4 Mo.
oxlint 1.87 : plus de suggestions d'autofix React
Nouvelles suggestions pour react/no-unescaped-entities, react/jsx-no-target-blank et unicorn/no-useless-switch-case, plus des correctifs sur les règles jsx-a11y. Publié avec oxfmt 0.72.
Tendances Notables
Le 5 octobre, GitHub a publié des dizaines d'advisories npm d'un coup : le SSR (Vue, Angular, seroval) et l'outillage build/test (tinypool, Nx, postcss) sont la surface d'attaque frontend du moment.
Tendance à surveiller : plusieurs correctifs étaient publiés depuis des semaines et l'advisory n'arrive que maintenant. Si vous mettez à jour régulièrement, vous êtes sans doute couvert ; sinon, votre lockfile vous trahit.