Dev News — Oct 21, 2026: TypeScript 7.1 beta, launch-editor flaws in Vite, Safari blocks identity resolution
WebKit bloquea la infraestructura de identity resolution en Safari 27
Safari y WebKit en iOS, iPadOS, macOS y visionOS 27 bloquean a nivel de dominio los requests a servicios de identity resolution: terceros que capturan tu email en un login o newsletter y lo convierten en un tracking ID persistente, el tracking «post-cookie». La personalización first-party sigue funcionando. Si tu sitio integra un vendor de este tipo, esperá requests fallidos en Safari y revisá esa integración.
Angular publica advisories de SSR: dos DoS en el router y un open redirect
Tanda de advisories para apps Angular con SSR: dos DoS en @angular/router (CVSS 8.2), uno por matching de rutas con outlet de path vacío y otro por retención de query params en RouterLink, más un open redirect con URLs protocol-relative en @angular/platform-server. Además, un fix incompleto de la fuga de token XSRF en HttpClient. Parcheado en 22.2.1, 21.2.25 y 20.3.33; la rama 19 no recibe fix, así que si seguís ahí, es momento de migrar.
Rspack 2.3 beta: parser SWC Next, filtro de loaders por contenido y menos memoria
Rspack migra el parsing de JavaScript a SWC Next y suma filter.code en loaders para saltear archivos que no contienen el marcador que les interesa, un ahorro gratis de transformaciones. También mejora splitChunks (incluye minRemainingSize), expone la API de tiempos de watchpack para plugins como ts-loader y vue-loader, y deja de retener source maps serializados.
markdown-it: render cuadrático con opciones por defecto (regresión desde 14.0)
Advisory high: una sola link reference definition multilínea dispara render en tiempo cuadrático, incluso con las opciones por defecto. Si renderizás Markdown de usuarios (comentarios, docs, VitePress con contenido externo), actualizá a 14.3.3 o 15.0.3.
Tendencias Destacadas
El dev server también es superficie de ataque: launch-editor demuestra que las features de DX (abrir en el editor) pueden terminar en ejecución de comandos.
TypeScript se abre a los formatos de los frameworks: con content mappers, Vue, Svelte y Astro podrían dejar de depender de forks del language service.
WebKit blocks identity resolution infrastructure in Safari 27
Safari and WebKit on iOS, iPadOS, macOS and visionOS 27 now block, at the domain level, network requests to identity resolution services: third parties that grab your email at login or newsletter signup and turn it into a persistent tracking ID, the post-cookie tracking technique. First-party personalization still works. If your site integrates such a vendor, expect failed requests in Safari and review that integration.
Angular discloses SSR advisories: two router DoS bugs and an open redirect
A batch of advisories for Angular apps using SSR: two DoS bugs in @angular/router (CVSS 8.2), one in empty-path outlet route matching and one via RouterLink query-param retention, plus an open redirect through protocol-relative URLs in @angular/platform-server. An incomplete fix for the HttpClient XSRF token leak was also disclosed. Patched in 22.2.1, 21.2.25 and 20.3.33; the 19 line gets no fix, so it is time to upgrade.
Rspack 2.3 beta: SWC Next parser, content-based loader filtering and lower memory
Rspack moves JavaScript parsing to SWC Next and adds filter.code for loaders, letting them skip files that lack the marker they transform. It also improves splitChunks (including minRemainingSize), exposes watchpack-compatible timing APIs for plugins like ts-loader and vue-loader, and stops retaining serialized source maps.
markdown-it: quadratic-time rendering with default options (regression since 14.0)
High advisory: a single multi-line link reference definition triggers quadratic-time rendering, even with default options. If you render user-supplied Markdown (comments, docs, VitePress with external content), upgrade to 14.3.3 or 15.0.3.
Notable Trends
The dev server is attack surface too: launch-editor shows DX features like open-in-editor can end in command execution.
TypeScript opens up to framework formats: with content mappers, Vue, Svelte and Astro may stop relying on language-service forks.
WebKit bloque l'infrastructure d'identity resolution dans Safari 27
Safari et WebKit sur iOS, iPadOS, macOS et visionOS 27 bloquent désormais, au niveau du domaine, les requêtes vers les services d'identity resolution : des tiers qui captent l'email à la connexion ou à l'inscription et le transforment en identifiant de suivi persistant. La personnalisation first-party reste possible. Si votre site intègre un tel fournisseur, attendez-vous à des requêtes bloquées dans Safari.
Angular publie des advisories SSR : deux DoS dans le router et un open redirect
Série d'advisories pour les apps Angular en SSR : deux DoS dans @angular/router (CVSS 8.2) et un open redirect via des URLs protocol-relative dans @angular/platform-server, plus un correctif incomplet de la fuite de jeton XSRF dans HttpClient. Corrigé en 22.2.1, 21.2.25 et 20.3.33 ; la branche 19 n'a pas de correctif.
Rspack 2.3 bêta : parser SWC Next, filtrage des loaders par contenu et moins de mémoire
Rspack passe le parsing JavaScript à SWC Next et ajoute filter.code pour que les loaders ignorent les fichiers sans le marqueur ciblé. Il améliore aussi splitChunks (dont minRemainingSize), expose les API de temps compatibles watchpack et ne retient plus les source maps sérialisées.
markdown-it : rendu en temps quadratique avec les options par défaut
Advisory high : une seule définition de référence de lien multiligne déclenche un rendu en temps quadratique, même avec les options par défaut. Si vous rendez du Markdown utilisateur, passez à 14.3.3 ou 15.0.3.
Tendances Notables
Le dev server est aussi une surface d'attaque : launch-editor montre qu'une fonction DX peut mener à l'exécution de commandes.
TypeScript s'ouvre aux formats des frameworks : avec les content mappers, Vue, Svelte et Astro pourraient se passer de forks du language service.