Lo nuevo hoy

Today's highlights

Points forts du jour

Click en cualquiera para ir al detalle

Click any item to jump to the full section

Cliquez un élément pour aller à la section complète

🔥

Top Stories

Seguridad

Hono 4.12.18: tres CVEs juntos en JWT, JSX SSR y cache middleware

El equipo de hono publicó v4.12.18 con tres advisories serios. El JWT helper aceptaba valores falsy o no numéricos en exp, nbf e iat, así que un token con exp: null pasaba la verificación temporal (GHSA-hm8q-7f3q-5f36). El cache middleware ignoraba Vary: Authorization y Vary: Cookie, devolviendo respuestas de un usuario a otro (GHSA-p77w-8qqv-26rm). Y el SSR de JSX permitía inyectar declaraciones CSS por valores de objetos style (GHSA-qp7p-654g-cw7p). Si usás Hono en edge, actualizá YA — son tres vectores que cualquiera puede explotar sin tocar tu infra.

06 May 2026
github.com/honojs/hono →
Seguridad

TeamCity On-Premises: CVE-2026-44413 expone API del server a usuarios no autorizados

JetBrains divulgó una vulnerabilidad high-severity post-auth en TeamCity On-Premises: un usuario autenticado puede exponer partes del API del server a usuarios sin permisos. Afecta a todas las versiones hasta 2025.11.4; el fix está en 2026.1 y JetBrains liberó un security patch plugin para quienes no pueden upgrade. TeamCity Cloud no está afectado. Ojo si compartís host entre TeamCity server y build agents: el riesgo se dispara.

12 May 2026
blog.jetbrains.com →
Seguridad

SAP Patch Day: SQLi crítica en S/4HANA y bypass de auth en Commerce Cloud

SAP publicó 15 advisories en el May Patch Day. Las dos críticas: CVE-2026-34260 es un SQL injection en S/4HANA, y CVE-2026-34263 es un missing authentication check en SAP Commerce Cloud. Si tocás integraciones ERP desde tu backend Node/TS, revisá los conectores hoy — un SQLi en S/4HANA llega a financials y materiales sin escalas.

13 May 2026
cvedetails.com →

Backend TypeScript & Runtimes

Release

Vercel Sandbox ya corre Node.js 26.x

Vercel agregó soporte para Node.js 26.x en Sandboxes, configurable vía @vercel/sandbox v1.10.2+. Node 26 trae Temporal API habilitada por default, V8 14.6 y Undici 8 — golazo para code execution flows en producción. Si tenés agentes que ejecutan código TS aislado, ya podés aprovechar Temporal sin polyfills.

12 May 2026
releasebot.io →
Beta

PostgreSQL 19: feature freeze cerrado, primera beta inminente

El feature freeze de PostgreSQL 19 cerró el 8 de abril y entró en fase de estabilización; la primera beta está prevista para mayo, con GA apuntando a septiembre 2026. Lo grueso que ya quedó adentro: SQL/PGQ para queries de grafos, FOR PORTION OF en constraints temporales, online data checksums y 64-bit MultiXactOffset (chau wraparound). Si arrancás un proyecto nuevo, vale la pena testear contra la beta apenas salga.

12 May 2026
postgresql.org →
🔗

Fullstack

Beta

Workflow Development Kit 5.0.0-beta.5: AbortController y mejor DX

Vercel publicó WDK 5.0.0-beta.5 en core, worlds, builders y adapters. Lo importante: soporte de AbortController, serialización de errores más robusta, diagnostics más amigables, y fixes de concurrencia y race conditions. Adapters mejorados para Next.js, Nitro, SvelteKit y Astro. Si tenés workflows long-running atados a UI, ahora podés cortarlos limpio desde el cliente.

11 May 2026
releasebot.io →
Patch

Vercel AI SDK: stepNumber en doStreamStep y tool descriptions flexibles

El AI SDK sumó una opción stepNumber en doStreamStep para que los StepResult del mismo telemetry trace queden numerados correctamente, y agregó flexible tool descriptions. Cosmético pero útil si estás debuggeando agentes multi-step y te aparecían steps fuera de orden en el dashboard.

11 May 2026
releasebot.io →
🏗️

Architecture & Best Practices

Destacado

OpenTelemetry se consolida como la lengua común del cloud

Análisis publicado esta semana pone a OpenTelemetry como el estándar que unifica las cuatro pilares de observabilidad bajo un solo SDK, un wire protocol (OTLP) y una capa de convenciones semánticas. CloudWatch ya acepta métricas OTLP en preview, VS Code 1.119 emite traces OTel para sesiones de Copilot Chat agent siguiendo GenAI semantic conventions, y continuous profiling entró en RC en Q1. Si todavía tenés agentes propietarios en cada cloud, llegaste tarde — migrá al collector único.

12 May 2026
earezki.com →
Destacado

VS Code 1.119: traces OpenTelemetry para sesiones de Copilot Chat

VS Code 1.119 (6 may) hace que las sesiones de Copilot Chat agent — incluyendo el local agent, el Copilot CLI background agent y el Claude agent — emitan traces, métricas y eventos OpenTelemetry siguiendo las GenAI semantic conventions. Sirve para entender comportamiento del agente, uso de tokens y performance sin instrumentar a mano. Si estás integrando AI en tu stack backend, mirá las convenciones GenAI para tus propias spans.

06 May 2026
visualstudiomagazine.com →
🔥

Top Stories

Security

Hono 4.12.18: three CVEs at once in JWT, JSX SSR and cache middleware

The hono team shipped v4.12.18 with three serious advisories. The JWT helper accepted falsy or non-numeric values in exp, nbf and iat, so a token with exp: null sailed past time-based checks (GHSA-hm8q-7f3q-5f36). Cache middleware ignored Vary: Authorization and Vary: Cookie, serving one user's cached response to another (GHSA-p77w-8qqv-26rm). And JSX SSR allowed CSS declaration injection through style object values (GHSA-qp7p-654g-cw7p). Three vectors anyone can hit without touching your infra — patch immediately.

06 May 2026
github.com/honojs/hono →
Security

TeamCity On-Premises: CVE-2026-44413 exposes server API to unauthorized users

JetBrains disclosed a high-severity post-auth flaw in TeamCity On-Premises: an authenticated user can expose parts of the server API to unauthorized users. Affects all versions through 2025.11.4; fix is in 2026.1, with a security patch plugin available for installations stuck on older versions. TeamCity Cloud is unaffected. Risk amplifies when TeamCity server shares a host with build agents.

12 May 2026
blog.jetbrains.com →
Security

SAP Patch Day: critical S/4HANA SQLi and Commerce Cloud auth bypass

SAP shipped 15 advisories on May Patch Day. The two criticals: CVE-2026-34260 is a SQL injection in S/4HANA, and CVE-2026-34263 is a missing auth check in SAP Commerce Cloud. If your Node/TS backend wraps ERP integrations, audit your connectors today — an S/4HANA SQLi hits financials and materials with no hops in between.

13 May 2026
cvedetails.com →

Backend TypeScript & Runtimes

Release

Vercel Sandbox now runs Node.js 26.x

Vercel added Node.js 26.x support in Sandboxes, configurable via @vercel/sandbox v1.10.2+. Node 26 ships Temporal API enabled by default, V8 14.6, and Undici 8 — clean win for sandboxed code execution flows in prod. If you run agents that execute isolated TS, Temporal is now usable without polyfills.

12 May 2026
releasebot.io →
Beta

PostgreSQL 19: feature freeze closed, first beta imminent

PostgreSQL 19's feature freeze closed on April 8 and the codebase moved to stabilization; the first beta is expected in May, with GA targeting September 2026. Headliners already in: SQL/PGQ for graph queries, FOR PORTION OF on temporal constraints, online data checksums, and 64-bit MultiXactOffset (no more wraparound). New projects should run their integration tests against the beta as soon as it lands.

12 May 2026
postgresql.org →
🔗

Fullstack

Beta

Workflow Development Kit 5.0.0-beta.5: AbortController and better DX

Vercel shipped WDK 5.0.0-beta.5 across core, worlds, builders, and adapters. Key wins: AbortController support, stronger error serialization, friendlier workflow diagnostics, and concurrency/race fixes. Improved adapters for Next.js, Nitro, SvelteKit and Astro. If your long-running workflows are tied to UI lifecycles, you can finally cancel them cleanly from the client.

11 May 2026
releasebot.io →
Patch

Vercel AI SDK: stepNumber on doStreamStep and flexible tool descriptions

The AI SDK added a stepNumber option to doStreamStep so StepResult objects on the same telemetry trace get numbered correctly, plus flexible tool descriptions. Small fix, big quality-of-life win if your multi-step agent dashboards were showing steps out of order.

11 May 2026
releasebot.io →
🏗️

Architecture & Best Practices

Notable

OpenTelemetry consolidates as the cloud's common language

This week's analysis frames OpenTelemetry as the standard that finally unifies all four observability pillars under one SDK, one wire protocol (OTLP), and one semantic-conventions layer. CloudWatch now accepts OTLP metrics in preview, VS Code 1.119 emits OTel traces for Copilot Chat agent sessions using GenAI semantic conventions, and continuous profiling reached RC in Q1. If you're still running proprietary agents per cloud, you're late — converge on the OTel Collector.

12 May 2026
earezki.com →
Notable

VS Code 1.119: OpenTelemetry traces for Copilot Chat sessions

VS Code 1.119 (May 6) makes Copilot Chat agent sessions — including the local agent, the Copilot CLI background agent, and the Claude agent — emit OpenTelemetry traces, metrics, and events following GenAI semantic conventions. Useful for understanding agent behavior, token usage, and performance without hand-instrumenting. If you're integrating AI in your backend stack, study the GenAI conventions for your own spans.

06 May 2026
visualstudiomagazine.com →
🔥

Top Stories

Sécurité

Hono 4.12.18 : trois CVE simultanées dans JWT, JSX SSR et cache middleware

L'équipe hono a publié v4.12.18 avec trois advisories sérieuses. Le helper JWT acceptait des valeurs falsy ou non numériques dans exp, nbf et iat (GHSA-hm8q-7f3q-5f36). Le cache middleware ignorait Vary: Authorization et Vary: Cookie (GHSA-p77w-8qqv-26rm). Le SSR JSX permettait l'injection de déclarations CSS via les valeurs d'objets style (GHSA-qp7p-654g-cw7p). Patchez immédiatement.

06 May 2026
github.com/honojs/hono →
Sécurité

TeamCity On-Premises : CVE-2026-44413 expose l'API du serveur

JetBrains divulgue une faille post-auth de haute gravité dans TeamCity On-Premises : un utilisateur authentifié peut exposer des parties de l'API serveur. Toutes les versions jusqu'à 2025.11.4 sont concernées ; correctif dans 2026.1. TeamCity Cloud non affecté.

12 May 2026
blog.jetbrains.com →
Sécurité

SAP Patch Day : SQLi critique S/4HANA et bypass d'auth Commerce Cloud

SAP publie 15 advisories au May Patch Day. Les deux critiques : CVE-2026-34260, une injection SQL dans S/4HANA, et CVE-2026-34263, un défaut d'authentification dans SAP Commerce Cloud.

13 May 2026
cvedetails.com →

Backend TypeScript & Runtimes

Release

Vercel Sandbox prend en charge Node.js 26.x

Vercel ajoute le support Node.js 26.x dans Sandboxes via @vercel/sandbox v1.10.2+. Node 26 active Temporal API par défaut, V8 14.6 et Undici 8.

12 May 2026
releasebot.io →
Bêta

PostgreSQL 19 : feature freeze terminé, première beta imminente

Le feature freeze de PostgreSQL 19 s'est terminé le 8 avril ; la première beta est prévue en mai, GA visée en septembre 2026. Au programme : SQL/PGQ, FOR PORTION OF, online data checksums, et MultiXactOffset 64 bits.

12 May 2026
postgresql.org →
🔗

Fullstack

Bêta

Workflow Development Kit 5.0.0-beta.5 : AbortController et DX améliorée

Vercel publie WDK 5.0.0-beta.5. Au menu : support AbortController, sérialisation d'erreurs renforcée, diagnostics améliorés, et corrections de concurrence. Adapters améliorés pour Next.js, Nitro, SvelteKit et Astro.

11 May 2026
releasebot.io →
Patch

Vercel AI SDK : stepNumber sur doStreamStep et descriptions d'outils flexibles

L'AI SDK ajoute une option stepNumber à doStreamStep pour que les StepResult de la même trace soient numérotés correctement, et introduit des descriptions d'outils flexibles.

11 May 2026
releasebot.io →
🏗️

Architecture & Best Practices

Notable

OpenTelemetry se consolide comme langue commune du cloud

Une analyse publiée cette semaine positionne OpenTelemetry comme le standard unifiant les quatre piliers de l'observabilité sous un SDK unique, un wire protocol (OTLP) et une couche de conventions sémantiques. CloudWatch accepte OTLP en preview, VS Code 1.119 émet des traces OTel pour les sessions Copilot Chat.

12 May 2026
earezki.com →
Notable

VS Code 1.119 : traces OpenTelemetry pour les sessions Copilot Chat

VS Code 1.119 (6 mai) fait émettre aux sessions Copilot Chat agent des traces, métriques et événements OpenTelemetry suivant les GenAI semantic conventions.

06 May 2026
visualstudiomagazine.com →