Next.js: RCE en Image Optimization con SVG vía sharp
El segundo RCE crítico del release viene de una vulnerabilidad de memoria en una librería upstream de la optimización de imágenes, explotable con SVG cuando Next corre en Linux con glibc. Lo arregla 15.5.28 y 16.4.1; como workaround, asegurate de que sharp sea >= 0.35.5. Si self-hosteás en Docker con Debian/Ubuntu, esto es para vos.
SvelteKit 3.1: keywords de CSP hash reporting y spans de tracing para endpoints
Soporta report-sha256/report-sha384/report-sha512 en la CSP y emite un span sveltekit.endpoint para handlers +server con server tracing activado. Además arregla que todo módulo se tratara como server-only si el proyecto vivía dentro de una carpeta server.
Angular 22.2.3 endurece el compilador JIT y common contra prototype pollution
Patch con hardening contra prototype pollution en el JIT y en el encoding de params de common, más soporte para bindings de la propiedad popover y puntos en nombres de class bindings. Sin advisory publicado, pero viene en la misma tanda que el backport a 20.3.34: conviene subir.
Node.js 26.12.0: websocketMask()/websocketUnmask() en http
El módulo http suma helpers websocketMask() y websocketUnmask(), y Node ahora tira error explícito cuando falta soporte de WebAssembly o RX en lugar de fallar en silencio.
Node.js 24.22.0 LTS: crypto.parsePKCS12() y API MAC genérica
La LTS recibe un paquete fuerte de crypto: crypto.parsePKCS12(), una API MAC genérica, descubrimiento de ciphers y hashes desde providers de OpenSSL, y modos SIV/GCM-SIV en Cipher/Decipher. Buenísimo para quien maneja certificados sin dependencias externas.
VS Code 1.142: Canvases en preview, mover chats a worktrees y editor Markdown
Canvases abre paneles interactivos al lado del chat donde vos y el agente editan el mismo artefacto (por ejemplo un Kanban). También podés mover un chat a otra carpeta o a un Git worktree nuevo sin perder historial, hay editor Markdown con pegado de imágenes, y los admins pueden forzar sandboxing y políticas de permisos del agente.
Tendencias Destacadas
Los typed arrays en el protocolo de RSC son el nuevo vector de ataque: el mismo bug pegó en React y en el `use cache` de Next.js el mismo día. Si tenés RSC en producción, el upgrade no es opcional.
Los editores siguen convirtiéndose en plataformas de agentes: VS Code 1.142 gira alrededor de Canvases, worktrees y políticas de sandboxing, no del editor de texto.
Next.js: RCE in Image Optimization with SVG files via sharp
The release's second critical RCE stems from a memory bug in an upstream library used by Image Optimization, exploitable with SVG files when Next.js runs on glibc-based Linux. Fixed in 15.5.28 and 16.4.1; as a workaround, make sure sharp is >= 0.35.5. Self-hosters on Debian/Ubuntu images should treat this as urgent.
SvelteKit 3.1: CSP hash-reporting keywords and tracing spans for endpoints
Adds support for the report-sha256/report-sha384/report-sha512 CSP keywords and emits a sveltekit.endpoint span for +server handlers when server tracing is on. It also fixes every module being treated as server-only when the project lives inside a server directory.
Angular 22.2.3 hardens the JIT compiler and common against prototype pollution
Patch release hardening the JIT compiler and common param encoding against prototype pollution, plus support for popover property bindings and dots in class binding names. No advisory is published, but it shipped alongside a 20.3.34 backport, so upgrading is worthwhile.
Node.js 26.12.0: websocketMask()/websocketUnmask() in http
The http module gains websocketMask() and websocketUnmask() helpers, and Node now throws explicitly when WebAssembly or RX support is missing instead of failing silently.
Node.js 24.22.0 LTS: crypto.parsePKCS12() and a generic MAC API
The LTS line gets a solid crypto drop: crypto.parsePKCS12(), a generic MAC API, cipher and hash discovery from OpenSSL providers, and SIV/GCM-SIV modes in Cipher/Decipher. Handy for handling certificates without third-party dependencies.
VS Code 1.142: Canvases preview, move chats to worktrees and a Markdown editor
Canvases opens interactive panels beside chat where you and the agent work on the same artifact (a Kanban board, for instance). You can also move a chat to another folder or a new Git worktree without losing history, there is a Markdown editor with image pasting, and admins can enforce agent sandboxing and permission policies.
Notable Trends
Typed arrays in the RSC transport are the new attack surface: the same bug class hit React and Next.js `use cache` on the same day. If you run RSC in production, upgrading is not optional.
Editors keep turning into agent platforms: VS Code 1.142 revolves around Canvases, worktrees and sandboxing policies rather than the text editor.
Next.js : RCE dans Image Optimization avec des SVG via sharp
La seconde RCE critique provient d'un bug mémoire dans une bibliothèque amont de l'optimisation d'images, exploitable via des SVG quand Next.js tourne sur Linux glibc. Corrigé en 15.5.28 et 16.4.1 ; en contournement, assurez-vous que sharp est >= 0.35.5.
SvelteKit 3.1 : mots-clés CSP de hash reporting et spans de tracing pour les endpoints
Prend en charge les mots-clés CSP report-sha256/report-sha384/report-sha512 et émet un span sveltekit.endpoint pour les handlers +server quand le tracing serveur est actif.
Angular 22.2.3 renforce le compilateur JIT et common contre la prototype pollution
Version corrective qui renforce le compilateur JIT et l'encodage des paramètres de common contre la prototype pollution, et ajoute les bindings de la propriété popover.
Node.js 26.12.0 : websocketMask()/websocketUnmask() dans http
Le module http gagne les helpers websocketMask() et websocketUnmask(), et Node lève désormais une erreur explicite si le support WebAssembly ou RX manque.
Node.js 24.22.0 LTS : crypto.parsePKCS12() et une API MAC générique
La ligne LTS reçoit un lot crypto conséquent : crypto.parsePKCS12(), une API MAC générique, la découverte des ciphers et hashes des providers OpenSSL, et les modes SIV/GCM-SIV.
VS Code 1.142 : Canvases en preview, déplacement des chats vers des worktrees et éditeur Markdown
Canvases ouvre des panneaux interactifs à côté du chat où vous et l'agent travaillez sur le même artefact. On peut aussi déplacer un chat vers un autre dossier ou un nouveau Git worktree, et les admins peuvent imposer le sandboxing de l'agent.
Tendances Notables
Les typed arrays du transport RSC sont la nouvelle surface d'attaque : la même classe de bug touche React et `use cache` de Next.js le même jour.
Les éditeurs deviennent des plateformes d'agents : VS Code 1.142 tourne autour des Canvases, des worktrees et des politiques de sandboxing.