Dev News Nov 12, 2026: Node patches 16 CVEs, an RCE in React Server Components and VS Code retires the Local harness
Angular 22.3.0-rc.0: el compilador reporta bindings desconocidos en ng-template
Arranca el release candidate de la 22.3. La feature del compilador: ahora reporta property bindings desconocidos en elementos <ng-template> explícitos, que antes pasaban callados. También rechaza nombres de atributo o propiedad que empiezan con dos puntos y arregla un memory leak en el renderer de animations (backporteado a 22.2.6).
pnpm 12.20: el lockfile v13 guarda specifiers locales y node-gyp suelta undici 6
Con lockfile.format: v13 (experimental), pnpm install registra los specifiers de dependencias de directorios locales, y los frozen installs fallan si cambiaron. El node-gyp bundleado ya no trae undici 6 (el que los scanners marcaban por CVE-2026-84947), los overrides por selector de versión ahora aplican a dependencias catalog: y las git deps aceptan el separador :: de npm. Ojo: remote resolution y los build caches compartidos dejan de funcionar con pnpr 0.1.0-alpha.19 o anterior.
Rolldown 1.3.2: __dirname y __filename para CommonJS en output ESM de Node
Los módulos CommonJS empaquetados en output ESM para Node ahora tienen __dirname y __filename, un clásico que rompía migraciones. Suma la opción hires en magic-string y una tanda de fixes de strict execution order y sourcemaps. El mismo día salieron 1.0.5, 1.1.8 y 1.2.19 para que el binding linux-x64-gnu corra en CPUs x86-64 baseline.
VS Code 1.146: el Local harness queda deprecado y se va en febrero de 2027
El Copilot harness (default para sesiones nuevas desde 1.143, construido sobre el Copilot SDK y corriendo en el Agent Host) pasa a ser el único camino. El Local harness queda congelado ya y se elimina en tres meses, junto con el setting empresarial vscode.temporaryDefaultToLocalHarness. Para orgs importa: el Copilot harness aplica las políticas de sandbox y permisos administradas que el Local no respetaba. También llega un inbox mode experimental para sesiones.
Prettier 3.10: nueva sintaxis de Flow y JavaScript, más @prettier/plugin-yuku
Soporta las últimas propuestas de JavaScript y la sintaxis nueva de Flow, pero lo interesante es el plugin oficial @prettier/plugin-yuku: parsers yuku (JS) y yuku-ts (TS) sobre Yuku, un toolchain de compilador escrito en Zig. Es otra señal de que el formateo también se muda a parsers nativos, como ya pasó con el linting.
Biome 2.6.7: tres reglas nursery, una para async en .finally()
noAsyncPromiseFinally marca funciones async pasadas a .finally(), porque si fallan su error pisa el resultado original. Se suman noDuplicateTypeConstituents (tipos repetidos en unions o undefined en parámetros opcionales) y noExcessiveSelectorComplexity para CSS.
Turborepo 2.11.11: turbo setup ya no exige ignorar .turbo/
turbo setup deja de pedir que .turbo/ esté en el gitignore y turbo info reporta la versión declarada del package manager.
Angular 22.2.6: memory leak del renderer de animations
Patch de la línea estable con el fix del leak en animations y HttpParams que omite arrays vacíos.
Tendencias Destacadas
Semana de parches en el server: Node, React Server Components y Chrome sacan fixes críticos en 48 horas. Si mantenés un stack SSR, hoy es día de actualizar dependencias.
El tooling sigue mudándose a nativo: Prettier suma un parser en Zig vía Yuku mientras Biome y Rolldown siguen sumando reglas y features.
Los editores cierran la puerta a los agentes sin políticas: VS Code se queda con un solo harness que respeta sandbox y permisos administrados.
Angular 22.3.0-rc.0: the compiler reports unknown bindings on ng-template
The 22.3 release candidate is out. The compiler feature: it now reports unknown property bindings on explicit <ng-template> elements, which used to pass silently. It also rejects attribute and property names starting with a colon and fixes a memory leak in the animations renderer (backported to 22.2.6).
pnpm 12.20: the v13 lockfile records local specifiers and node-gyp drops undici 6
With lockfile.format: v13 (experimental), pnpm install records the specifiers of local directory dependencies, and frozen installs reject changed ones. The bundled node-gyp no longer ships undici 6 (flagged by scanners for CVE-2026-84947), version-selector overrides now apply to catalog: dependencies, and git deps accept npm's :: separator. Heads-up: remote resolution and shared build caches stop working with pnpr 0.1.0-alpha.19 or older.
Rolldown 1.3.2: __dirname and __filename for CommonJS in Node ESM output
CommonJS modules bundled into Node ESM output now get __dirname and __filename, a classic migration breaker. It also adds a hires magic-string option and a batch of strict-execution-order and sourcemap fixes. The same day, 1.0.5, 1.1.8 and 1.2.19 shipped so the linux-x64-gnu binding runs on baseline x86-64 CPUs.
VS Code 1.146: the Local harness is deprecated and goes away in February 2027
The Copilot harness (default for new sessions since 1.143, built on the Copilot SDK and running through the Agent Host) becomes the only path. The Local harness is frozen now and will be removed in three months, along with the enterprise setting vscode.temporaryDefaultToLocalHarness. For organizations, the Copilot harness enforces the managed sandbox and permission policies the Local harness doesn't. An experimental inbox mode for sessions also lands.
Prettier 3.10: new Flow and JavaScript syntax, plus @prettier/plugin-yuku
It supports the latest JavaScript proposals and new Flow syntax, but the headline is the official @prettier/plugin-yuku: yuku (JS) and yuku-ts (TS) parsers on Yuku, a high-performance compiler toolchain written in Zig. Formatting is following linting onto native parsers.
Biome 2.6.7: three nursery rules, one for async in .finally()
noAsyncPromiseFinally flags async functions passed to .finally(), since a failure there replaces the promise's original result. It is joined by noDuplicateTypeConstituents (repeated union members or undefined on optional params) and noExcessiveSelectorComplexity for CSS.
Turborepo 2.11.11: turbo setup no longer requires ignoring .turbo/
turbo setup stops requiring .turbo/ to be git-ignored, and turbo info reports declared package manager versions.
Angular 22.2.6: animations renderer memory leak fixed
Stable-line patch with the animations leak fix and HttpParams now omitting empty arrays.
Notable Trends
A server-side patch week: Node, React Server Components and Chrome all ship critical fixes within 48 hours. If you run an SSR stack, today is dependency-update day.
Tooling keeps going native: Prettier adds a Zig-based parser through Yuku while Biome and Rolldown keep adding rules and features.
Editors are closing the door on agents without policy: VS Code consolidates on a single harness that enforces managed sandbox and permission rules.
Angular 22.3.0-rc.0 : le compilateur signale les bindings inconnus sur ng-template
La release candidate de la 22.3 est là. Côté compilateur, il signale désormais les property bindings inconnus sur les éléments <ng-template> explicites, auparavant ignorés en silence. Il rejette aussi les noms d'attribut ou de propriété commençant par deux-points et corrige une fuite mémoire dans le renderer d'animations (backportée en 22.2.6).
pnpm 12.20 : le lockfile v13 enregistre les specifiers locaux et node-gyp abandonne undici 6
Avec lockfile.format: v13 (expérimental), pnpm install enregistre les specifiers des dépendances de répertoires locaux, et les frozen installs rejettent ceux qui ont changé. Le node-gyp embarqué ne contient plus undici 6 (signalé pour CVE-2026-84947), les overrides par sélecteur de version s'appliquent aux dépendances catalog: et les git deps acceptent le séparateur :: de npm. Attention : la remote resolution et les build caches partagés ne fonctionnent plus avec pnpr 0.1.0-alpha.19 ou antérieur.
Rolldown 1.3.2 : __dirname et __filename pour CommonJS en sortie ESM Node
Les modules CommonJS bundlés en sortie ESM pour Node disposent désormais de __dirname et __filename, un classique des migrations cassées. S'ajoutent l'option hires de magic-string et des correctifs sur le strict execution order et les sourcemaps. Le même jour, 1.0.5, 1.1.8 et 1.2.19 sont sorties pour que le binding linux-x64-gnu tourne sur les CPU x86-64 baseline.
VS Code 1.146 : le Local harness est déprécié et disparaîtra en février 2027
Le Copilot harness (par défaut pour les nouvelles sessions depuis 1.143, basé sur le Copilot SDK et exécuté via l'Agent Host) devient la seule voie. Le Local harness est gelé dès maintenant et sera retiré dans trois mois, avec le paramètre entreprise vscode.temporaryDefaultToLocalHarness. Pour les organisations, le Copilot harness applique les politiques gérées de sandbox et de permissions que le Local harness ignore. Un inbox mode expérimental pour les sessions arrive aussi.
Prettier 3.10 : nouvelle syntaxe Flow et JavaScript, et @prettier/plugin-yuku
Il prend en charge les dernières propositions JavaScript et la nouvelle syntaxe Flow, mais l'essentiel est le plugin officiel @prettier/plugin-yuku : des parsers yuku (JS) et yuku-ts (TS) basés sur Yuku, une toolchain de compilation écrite en Zig. Le formatage suit le linting vers les parsers natifs.
Biome 2.6.7 : trois règles nursery, dont une pour l'async dans .finally()
noAsyncPromiseFinally signale les fonctions async passées à .finally(), car leur erreur remplace le résultat initial de la promesse. S'y ajoutent noDuplicateTypeConstituents (membres d'union répétés ou undefined sur paramètres optionnels) et noExcessiveSelectorComplexity pour le CSS.
Turborepo 2.11.11 : turbo setup n'exige plus d'ignorer .turbo/
turbo setup n'exige plus que .turbo/ soit ignoré par git, et turbo info affiche la version déclarée du package manager.
Angular 22.2.6 : fuite mémoire du renderer d'animations corrigée
Patch de la branche stable avec le correctif de fuite des animations et HttpParams qui omet les tableaux vides.
Tendances Notables
Semaine de correctifs côté serveur : Node, les React Server Components et Chrome publient des correctifs critiques en 48 heures. Si vous maintenez une stack SSR, c'est le jour des mises à jour.
L'outillage continue de passer au natif : Prettier ajoute un parser en Zig via Yuku, tandis que Biome et Rolldown enrichissent règles et fonctionnalités.
Les éditeurs ferment la porte aux agents sans politique : VS Code se limite à un seul harness qui applique sandbox et permissions gérées.