Dev News Nov 2 2026: node-forge patches 11 advisories, Nuxt discloses 4 dev-server CVEs, Vue 3.6 rc.14 polishes Vapor
TanStack Solid Start 2.0.0-rc.10 se alinea con solid-js 2.0.0-rc.20
Release chico pero útil: @tanstack/solid-router y @tanstack/solid-start pasan a 2.0.0-rc.10, ahora sobre solid-js 2.0.0-rc.20 y @solidjs/vite-plugin 3.0.0-next.54. Si estás probando Solid 2 con Start, actualizá todo junto para no mezclar RCs.
minimatch 11.0.1 y glob 14.0.2: amplificación de globparts y un AbortSignal que no corta
Dos paquetes que están en todos los node_modules. minimatch < 11.0.1 tiene un DoS por amplificación de globparts (CVE-2026-118764, CVSS v4 6.9): un patrón armado puede explotar el trabajo de matching. Y glob 9.0.0 a 14.0.1 sigue recorriendo el filesystem después de que el AbortSignal venció (CVE-2026-118773, CVSS v4 6.3). Importa si aceptás patrones de usuarios o usás timeouts como frontera de seguridad. Mirá con npm ls minimatch glob qué versiones te arrastran.
follow-redirects 1.16.2: un instanceof Array dejaba escapar headers de credenciales en redirects
Lindo bug de libro (CVE-2026-116689, CVSS v4 8.2). La opción sensitiveHeaders de las versiones 1.16.0 y 1.16.1 se validaba con instanceof Array; un array creado en otro realm (iframe, vm, worker) se reemplazaba en silencio por una lista vacía, y tu header de auth custom viajaba a un redirect cross-origin del atacante. La lección para todos: usá Array.isArray. follow-redirects llega vía axios a medio ecosistema, así que actualizá a 1.16.2.
@nx/maven y @nx/gradle: opciones de nx.json ejecutadas como comandos de shell
Los plugins de Nx para Maven y Gradle interpolaban opciones de nx.json directo en una línea de shell (CVE-2026-119282, CVSS v4 7.3). Cualquier comando que arme el project graph ejecuta lo que haya ahí. El propio advisory es honesto: el riesgo real nuevo es acotado, por ejemplo CI buildeando PRs de forks donde nx.json es editable pero los build files no. Parche en 22.7.9 y 23.1.2.
ESLint 10.14.0: exige minimatch 10.2.6 y arregla autofixes rotos
Release de mantenimiento con un detalle de seguridad: ESLint ahora pide minimatch 10.2.6 para evitar un brace-expansion vulnerable (un problema distinto al advisory de minimatch de esta semana). También arregla autofixes inválidos de yoda y object-shorthand con métodos super, y crashes de no-invalid-this con campos accessor. Bonus: los docs reemplazan --rulesdir por un plugin virtual.
PageBreak: el agente de Google que encontró más de 500 XSS en sus propias apps
Google contó cómo usa PageBreak, un agente con Gemini que formula hipótesis de XSS y las prueba contra la app corriendo, con un validador determinístico que ejecuta JavaScript para confirmar el exploit antes de reportar. Más de 500 XSS desde enero con una tasa de falsos positivos casi nula, según su paper (sin validación independiente). Es interno, no está disponible, pero ojo: el patrón agente + validador determinístico es exactamente lo que vas a ver llegar a las herramientas de testing de frontend.
Tendencias Destacadas
Viernes de advisories: node-forge, Nuxt, minimatch, glob, follow-redirects y Nx en un solo día. El fin de semana no trajo releases grandes, así que la tarea del lunes es npm ls y actualizar.
El dev server sigue siendo superficie de ataque: después de Vite, Vitest y Storybook en octubre, ahora Nuxt. No lo expongas en 0.0.0.0 sin pensarlo.
Vue 3.6 va por la RC 14 y casi todo el trabajo es hidratación de Vapor: señal de que el estable está cerca.
TanStack Solid Start 2.0.0-rc.10 lines up with solid-js 2.0.0-rc.20
A small but useful release: @tanstack/solid-router and @tanstack/solid-start move to 2.0.0-rc.10, now on solid-js 2.0.0-rc.20 and @solidjs/vite-plugin 3.0.0-next.54. If you are trying Solid 2 with Start, upgrade everything together to avoid mixing RCs.
minimatch 11.0.1 and glob 14.0.2: globparts amplification and an AbortSignal that doesn't stop
Two packages that live in every node_modules. minimatch < 11.0.1 has a globparts amplification DoS (CVE-2026-118764, CVSS v4 6.9): a crafted pattern can blow up matching work. And glob 9.0.0 through 14.0.1 keeps traversing the filesystem after the AbortSignal fired (CVE-2026-118773, CVSS v4 6.3). It matters if you accept user-supplied patterns or rely on timeouts as a safety boundary. Check npm ls minimatch glob to see which versions you pull in.
follow-redirects 1.16.2: an instanceof Array check leaked credential headers on redirects
A textbook bug (CVE-2026-116689, CVSS v4 8.2). The sensitiveHeaders option in 1.16.0 and 1.16.1 was validated with instanceof Array, so an array created in another realm (iframe, vm, worker) was silently replaced with an empty list, and your custom auth header was forwarded to an attacker's cross-origin redirect. The lesson for everyone: use Array.isArray. follow-redirects reaches half the ecosystem through axios, so move to 1.16.2.
@nx/maven and @nx/gradle: nx.json options executed as shell commands
Nx's Maven and Gradle plugins interpolated nx.json options straight into a shell command line (CVE-2026-119282, CVSS v4 7.3). Any command that builds the project graph runs whatever is there. The advisory is candid: the genuinely new exposure is narrow, for example CI building fork PRs where nx.json is writable but the build files are not. Fixed in 22.7.9 and 23.1.2.
ESLint 10.14.0: requires minimatch 10.2.6 and fixes broken autofixes
A maintenance release with a security detail: ESLint now requires minimatch 10.2.6 to avoid a vulnerable brace-expansion (a different issue from this week's minimatch advisory). It also fixes invalid yoda and object-shorthand autofixes with super methods, plus no-invalid-this crashes on accessor fields. Bonus: the docs replace --rulesdir with a virtual plugin.
PageBreak: Google's agent that found 500+ XSS bugs in its own apps
Google described PageBreak, a Gemini-powered agent that forms XSS hypotheses and tests them against the running app, using a deterministic validator that executes JavaScript to confirm the exploit before reporting it. Over 500 XSS bugs since January with a near-zero false-positive rate, per its paper (not independently validated). It is internal and not available, but the agent plus deterministic validator pattern is exactly what you should expect to reach frontend testing tools next.
Notable Trends
Advisory Friday: node-forge, Nuxt, minimatch, glob, follow-redirects and Nx in a single day. The weekend brought no major releases, so Monday's job is npm ls and upgrades.
The dev server keeps being attack surface: after Vite, Vitest and Storybook in October, now Nuxt. Don't bind it to 0.0.0.0 without thinking.
Vue 3.6 is on RC 14 and nearly all the work is Vapor hydration, a sign that stable is close.
TanStack Solid Start 2.0.0-rc.10 s'aligne sur solid-js 2.0.0-rc.20
Petite release mais utile : @tanstack/solid-router et @tanstack/solid-start passent en 2.0.0-rc.10, désormais sur solid-js 2.0.0-rc.20 et @solidjs/vite-plugin 3.0.0-next.54. Si vous testez Solid 2 avec Start, mettez tout à jour ensemble pour ne pas mélanger les RC.
minimatch 11.0.1 et glob 14.0.2 : amplification de globparts et un AbortSignal qui n'arrête rien
Deux paquets présents dans tous les node_modules. minimatch < 11.0.1 a un DoS par amplification de globparts (CVE-2026-118764, CVSS v4 6.9) : un motif forgé peut faire exploser le travail de matching. Et glob 9.0.0 à 14.0.1 continue de parcourir le système de fichiers après le déclenchement de l'AbortSignal (CVE-2026-118773, CVSS v4 6.3). Important si vous acceptez des motifs fournis par l'utilisateur ou comptez sur les timeouts comme garde-fou. Vérifiez avec npm ls minimatch glob.
follow-redirects 1.16.2 : un instanceof Array laissait fuiter des en-têtes d'identifiants lors des redirections
Un bug d'école (CVE-2026-116689, CVSS v4 8.2). L'option sensitiveHeaders des versions 1.16.0 et 1.16.1 était validée avec instanceof Array : un tableau créé dans un autre realm (iframe, vm, worker) était remplacé silencieusement par une liste vide, et votre en-tête d'auth personnalisé partait vers une redirection cross-origin de l'attaquant. Leçon pour tous : utilisez Array.isArray. follow-redirects arrive dans la moitié de l'écosystème via axios, passez en 1.16.2.
@nx/maven et @nx/gradle : options de nx.json exécutées comme commandes shell
Les plugins Nx pour Maven et Gradle interpolaient les options de nx.json directement dans une ligne de commande shell (CVE-2026-119282, CVSS v4 7.3). Toute commande qui construit le project graph exécute ce qui s'y trouve. L'advisory est franc : l'exposition réellement nouvelle est étroite, par exemple une CI qui build des PR de forks où nx.json est modifiable mais pas les fichiers de build. Corrigé en 22.7.9 et 23.1.2.
ESLint 10.14.0 : exige minimatch 10.2.6 et corrige des autofixes cassés
Release de maintenance avec un détail sécurité : ESLint exige désormais minimatch 10.2.6 pour éviter un brace-expansion vulnérable (un problème distinct de l'advisory minimatch de cette semaine). Elle corrige aussi des autofixes invalides de yoda et object-shorthand avec des méthodes super, ainsi que des crashs de no-invalid-this sur les champs accessor. Bonus : la doc remplace --rulesdir par un plugin virtuel.
PageBreak : l'agent de Google qui a trouvé plus de 500 XSS dans ses propres apps
Google a présenté PageBreak, un agent basé sur Gemini qui formule des hypothèses de XSS et les teste contre l'application en cours d'exécution, avec un validateur déterministe qui exécute du JavaScript pour confirmer l'exploit avant de le signaler. Plus de 500 XSS depuis janvier avec un taux de faux positifs quasi nul, selon son article (sans validation indépendante). L'outil est interne, mais le schéma agent plus validateur déterministe devrait bientôt gagner les outils de test frontend.
Tendances Notables
Vendredi des advisories : node-forge, Nuxt, minimatch, glob, follow-redirects et Nx le même jour. Le week-end n'a apporté aucune grosse release, donc le travail du lundi, c'est npm ls et les mises à jour.
Le dev server reste une surface d'attaque : après Vite, Vitest et Storybook en octobre, voici Nuxt. Ne l'exposez pas sur 0.0.0.0 sans réfléchir.
Vue 3.6 en est à la RC 14 et presque tout le travail porte sur l'hydratation Vapor, signe que la stable approche.