Dev News — 22 Oct 2026: critical Storybook flaw, Node.js security release and Vite/Vitest fs.deny bypasses
Solid 2.0.0-rc.17: teardown robusto y warning para inputs pisados
Un onCleanup que tira error ya no corta el resto del teardown: corren todas las cleanups y se relanza el primer error al final, sin dejar commits a medias. En dev aparece UNCOMMITTED_INPUT_OVERWRITTEN cuando un binding de value/checked está por pisar algo que el usuario tipeó. Producción queda byte a byte igual. El mismo día TanStack Solid Start pasó a 2.0.0-rc.9. La 2.0 se viene, eh.
Vite 6.4.5: bypass de server.fs.deny con queries (y 8.3.5 con fixes de bundled-dev)
GHSA-8g5g-mxqh-grgj: en Vite 6.4.4, archivos bloqueados por server.fs.deny (tipo .env) podían devolverse al browser agregando queries, una regresión del mismo bug de antes. Solo pega si exponés el dev server a la red con --host. Fix en 6.4.5. En paralelo salió 8.3.5, con una tanda de fixes para el modo bundled-dev (HMR, source maps, server.origin) y el optimizer.
Deno 2.9.8: permisos en deno compile, validación de npm links y CAs desconfiadas
Patch con varios fixes de seguridad sin CVE: deno compile ahora chequea el permiso de lectura para imports dinámicos locales, se validan los nombres de links de paquetes npm, se desconfía de las CAs comprometidas de eMudhra y se acotan bounds en napi_create_dataview. Si distribuís binarios con deno compile, actualizá.
Vitest: tres advisories, incluida la UI y Browser Mode sirviendo .env y claves privadas
CVE-2026-112948: en Vitest 5 los servers de --ui, Browser Mode o api no aplicaban server.fs.deny, así que se podían leer .env, claves, .npmrc, .git y hasta .vitest-secret-token; con test.projects una web maliciosa podía leer tu .env desde tu browser. Fix en 5.0.5 (y vite-plus 1.3.0). Además, @vitest/mocker aceptaba registros de mocks sin autenticación (fix en 4.1.12 / 5.0.3) y tenía un traversal con backslashes en Windows. vitest run pelado no abre puertos, tranqui.
@vitest/mocker: inyección de código vía mocks sin autenticar
El advisory completo del mocker (CVE-2026-112949): actualizá a 4.1.12 o 5.0.3.
Vite 8.3.5 release notes
La lista completa de fixes de bundled-dev, CSS y optimizer.
Tendencias Destacadas
El dev server es la nueva superficie de ataque: Storybook, Vite y Vitest cayeron el mismo día por servir archivos u aceptar requests de cualquier origen. Si exponés algo con --host, revisalo.
Node.js sigue tapando agujeros del permission model release tras release: todavía no lo trates como un sandbox.
Solid 2.0.0-rc.17: robust teardown and a warning for overwritten inputs
A throwing onCleanup no longer aborts the rest of teardown: every cleanup runs and the first error is rethrown afterwards, so commits are never left half-applied. Dev builds now warn with UNCOMMITTED_INPUT_OVERWRITTEN when a value/checked binding is about to overwrite an uncommitted user edit. Production output is byte-for-byte unchanged. TanStack Solid Start moved to 2.0.0-rc.9 the same day.
Vite 6.4.5: server.fs.deny bypass via queries (plus 8.3.5 with bundled-dev fixes)
GHSA-8g5g-mxqh-grgj: in Vite 6.4.4, files blocked by server.fs.deny (such as .env) could be returned to the browser by appending queries, a repeat of an earlier advisory. Only affects dev servers exposed with --host. Fixed in 6.4.5. Vite 8.3.5 landed alongside with a batch of bundled-dev fixes (HMR propagation, source-mapped error stacks, server.origin) and optimizer lockfile tweaks.
Deno 2.9.8: deno compile permissions, npm link validation and distrusted CAs
A patch release carrying several security-flavored fixes: deno compile now checks read permission for dynamically imported local files, npm package link names are validated, compromised eMudhra certificate authorities are distrusted, and napi_create_dataview gets overflow bounds checks. Worth taking if you ship deno compile binaries.
Vitest: three advisories, including UI and Browser Mode serving .env and private keys
CVE-2026-112948: in Vitest 5, the --ui, Browser Mode and api servers did not apply server.fs.deny, exposing .env, private keys, .npmrc, .git and the .vitest-secret-token file; with test.projects, a malicious site could read .env through your browser. Fixed in 5.0.5 (and vite-plus 1.3.0). Separately, @vitest/mocker accepted unauthenticated manual mock registrations (fixed in 4.1.12 / 5.0.3) and had a Windows backslash traversal. Plain vitest run opens no port and is unaffected.
@vitest/mocker: code injection via unauthenticated mock registration
The full mocker advisory (CVE-2026-112949): upgrade to 4.1.12 or 5.0.3.
Notable Trends
The dev server is the new attack surface: Storybook, Vite and Vitest all shipped fixes the same day for serving files or accepting requests from any origin. If you expose anything with --host, audit it.
Node.js keeps patching permission model gaps release after release: don't treat it as a sandbox yet.
Solid 2.0.0-rc.17 : teardown robuste et avertissement pour les inputs écrasés
Un onCleanup qui lève une erreur n'interrompt plus le teardown : toutes les cleanups s'exécutent et la première erreur est relancée ensuite. En dev, UNCOMMITTED_INPUT_OVERWRITTEN avertit quand un binding value/checked va écraser une saisie non validée. La sortie de production est identique. TanStack Solid Start passe en 2.0.0-rc.9 le même jour.
Vite 6.4.5 : contournement de server.fs.deny via des queries (et 8.3.5 avec des correctifs bundled-dev)
GHSA-8g5g-mxqh-grgj : dans Vite 6.4.4, des fichiers bloqués par server.fs.deny (comme .env) pouvaient être servis en ajoutant des paramètres de requête. Ne concerne que les serveurs de dev exposés avec --host. Corrigé en 6.4.5. Vite 8.3.5 sort en parallèle avec des correctifs pour bundled-dev et l'optimizer.
Deno 2.9.8 : permissions de deno compile, validation des liens npm et AC révoquées
Une version corrective avec plusieurs correctifs liés à la sécurité : deno compile vérifie la permission de lecture pour les imports dynamiques locaux, les noms de liens npm sont validés, les AC eMudhra compromises sont révoquées et napi_create_dataview vérifie les débordements.
Vitest : trois advisories, dont l'UI et le Browser Mode servant .env et clés privées
CVE-2026-112948 : dans Vitest 5, les serveurs --ui, Browser Mode et api n'appliquaient pas server.fs.deny, exposant .env, clés privées, .npmrc, .git et .vitest-secret-token. Corrigé en 5.0.5 (et vite-plus 1.3.0). Par ailleurs, @vitest/mocker acceptait des enregistrements de mocks non authentifiés (corrigé en 4.1.12 / 5.0.3). vitest run seul n'ouvre aucun port.
@vitest/mocker : injection de code via des mocks non authentifiés
L'advisory complet du mocker (CVE-2026-112949) : mettez à jour vers 4.1.12 ou 5.0.3.
Notes de version de Vite 8.3.5
La liste complète des correctifs bundled-dev, CSS et optimizer.
Tendances Notables
Le serveur de dev est la nouvelle surface d'attaque : Storybook, Vite et Vitest ont tous publié des correctifs le même jour pour des fichiers servis ou des requêtes acceptées de n'importe quelle origine.
Node.js continue de corriger des failles du permission model à chaque release : ne le traitez pas encore comme un sandbox.