Backend & Fullstack Daily — 14 Oct 2026: Patch Tuesday de .NET con smuggling en Kestrel, CVE en Fastify y Vite+ 1.0
Fastify 5.12.6: bypass de validación de headers vía propertyNames case-sensitive (CVE-2026-107832)
Fastify pasa a minúsculas los nombres de header del schema, pero no los valores dentro de enum/const en un propertyNames. Resultado: un deny-list tipo X-Debug-Override nunca matchea y el header prohibido llega al handler. Severidad baja (CVSS 3.7), pero es un fix incompleto de CVE-2026-84428. Afecta >= 5.12.2, < 5.12.6; la 5.12.6 además trae mejoras de perf en parsing de bodies y content-types. Moraleja: no uses validación de schema como control de seguridad sin un test que lo pruebe.
CloudFront ya acepta Lambda Web Functions como origin, con Origin Access Control
Horas después del lanzamiento de Lambda Web Functions, AWS habilitó ponerlas detrás de CloudFront: TLS en el edge, caché, dominios custom y OAC para que nadie le pegue directo a la función. Sin cambios de código y sin costo extra. Esto cierra el patrón obvio: si vas a servir HTTP desde Lambda, que el único camino de entrada sea el CDN con WAF.
ECS suma la métrica gratuita LiveTaskCount y deja de cobrar RunningTaskCount
LiveTaskCount cuenta tasks en ACTIVATING, RUNNING y DEACTIVATING, incluidas las que están drenando en un scale-in, sin necesitar Container Insights. Es la métrica correcta para autoscaling; RunningTaskCount queda como señal de salud y ahora es gratis.
Backstage 1.55: recovery de tasks del scaffolder y remoción de APIs de catálogo deprecadas
Las tasks del scaffolder que crashean o hacen timeout ahora se reanudan solas (scaffolder.taskRecovery). Ojo con el upgrade: se van APIs de catálogo deprecadas y search pasa a requerir Elasticsearch 8.19+. Trae fixes de seguridad en siete paquetes.
El OHTTP Gateway de Cloudflare se niega a descifrar requests que llegan por Cloudflare
Lindo caso de diseño: Oblivious HTTP solo protege la privacidad si relay y gateway los operan partes distintas y no coludidas. Por eso Cloudflare rechaza tráfico que venga de Workers o hosts proxied por ellos mismos, y no ofrece relay. Y recordá: oculta la identidad de red, no lo que mandes en el body. Si estás pensando telemetría privacy-preserving, leelo.
pnpm 12.13: comandos profile y token, y storeIndexFormat para stores compartidos por red
Nuevos pnpm profile y pnpm token para gestionar el registry sin salir de pnpm. Lo importante para CI: storeIndexFormat: files guarda el índice como un archivo por paquete en vez del index.db de SQLite, cuyo locking no funciona entre máquinas y podía corromperse en un store sobre NFS. También agrupa la config de package maps en nodePackageMap.
Turborepo 2.11.8: flag experimental de setup y descargas con el package manager del repo
Patch chico: agrega un future flag experimental de setup y las descargas automáticas de Turbo ahora usan el package manager del repositorio en vez de asumir npm.
Tendencias Destacadas
Día de seguridad en el stack HTTP: request smuggling en Kestrel y un fix incompleto en Fastify muestran que la normalización de headers sigue siendo terreno minado.
AWS completa en días el ecosistema de Lambda Web Functions: primero la primitiva, ahora CloudFront con OAC como puerta de entrada.
La toolchain JS se consolida: Vite+ 1.0 empaqueta build, test, lint y hooks en un solo CLI respaldado por Cloudflare.
Fastify 5.12.6: header validation bypass via case-sensitive propertyNames (CVE-2026-107832)
Fastify lowercases header names in the schema, but not the values inside enum/const in a propertyNames subschema. A deny-list like X-Debug-Override therefore never matches and the forbidden header reaches the handler. Low severity (CVSS 3.7), but an incomplete fix of CVE-2026-84428. Affects >= 5.12.2, < 5.12.6; 5.12.6 also ships body and content-type parsing perf work.
CloudFront now accepts Lambda Web Functions as an origin, with Origin Access Control
Hours after launching Lambda Web Functions, AWS lets you put them behind CloudFront: edge TLS, caching, custom domains and OAC so nothing reaches the function directly. No code changes and no extra fees. If you serve HTTP from Lambda, make the CDN plus WAF the only way in.
ECS adds a free LiveTaskCount metric and stops charging for RunningTaskCount
LiveTaskCount counts tasks in ACTIVATING, RUNNING and DEACTIVATING, including ones draining during scale-in, without Container Insights. It is the right metric for autoscaling; RunningTaskCount stays a health signal and is now free.
Backstage 1.55: scaffolder task recovery and removal of deprecated catalog APIs
Scaffolder tasks that crash or time out now resume automatically (scaffolder.taskRecovery). Plan the upgrade: deprecated catalog APIs are removed and search now needs Elasticsearch 8.19+. Includes security fixes across seven packages.
Cloudflare's OHTTP Gateway refuses to decrypt requests that arrive through Cloudflare
A neat design case: Oblivious HTTP only preserves privacy when the relay and gateway are run by separate, non-colluding parties. So Cloudflare rejects traffic from its own Workers or proxied hosts and offers no relay. It hides network identity, not what you put in the body.
pnpm 12.13: profile and token commands, plus storeIndexFormat for network-shared stores
New pnpm profile and pnpm token commands manage the registry from pnpm. The CI-relevant bit: storeIndexFormat: files keeps one index file per package instead of the SQLite index.db, whose locking does not work across machines and could corrupt on network-filesystem stores. Package-map settings are grouped under nodePackageMap.
Turborepo 2.11.8: experimental setup future flag and downloads via the repo's package manager
Small patch: adds an experimental setup future flag, and automatic Turbo downloads now use the repository's package manager instead of assuming npm.
Notable Trends
A security day for the HTTP stack: Kestrel request smuggling and an incomplete Fastify fix show header normalization is still a minefield.
AWS fills out Lambda Web Functions within days: first the primitive, now CloudFront with OAC as the front door.
JS tooling keeps consolidating: Vite+ 1.0 bundles build, test, lint and hooks in one Cloudflare-backed CLI.
Fastify 5.12.6 : contournement de validation d'en-têtes via propertyNames sensible à la casse (CVE-2026-107832)
Fastify met en minuscules les noms d'en-têtes du schéma, mais pas les valeurs dans enum/const d'un propertyNames. Une deny-list comme X-Debug-Override ne correspond jamais et l'en-tête interdit atteint le handler. Sévérité faible (CVSS 3.7), mais correctif incomplet de CVE-2026-84428. Concerne >= 5.12.2, < 5.12.6.
CloudFront accepte désormais les Lambda Web Functions comme origin, avec Origin Access Control
Quelques heures après le lancement des Lambda Web Functions, AWS permet de les placer derrière CloudFront : TLS en edge, cache, domaines personnalisés et OAC pour bloquer l'accès direct. Sans changement de code et sans frais supplémentaires.
ECS ajoute la métrique gratuite LiveTaskCount et ne facture plus RunningTaskCount
LiveTaskCount compte les tasks en ACTIVATING, RUNNING et DEACTIVATING, y compris celles en drainage lors d'un scale-in, sans Container Insights. RunningTaskCount devient gratuit.
Backstage 1.55 : reprise des tâches du scaffolder et suppression d'API de catalogue dépréciées
Les tâches du scaffolder qui plantent ou expirent reprennent automatiquement (scaffolder.taskRecovery). Attention à la mise à jour : API de catalogue dépréciées supprimées et search exige Elasticsearch 8.19+.
La passerelle OHTTP de Cloudflare refuse de déchiffrer les requêtes arrivant via Cloudflare
Un bon cas de conception : Oblivious HTTP ne protège la vie privée que si relais et passerelle sont opérés par des parties distinctes et non complices. Cloudflare rejette donc le trafic de ses propres Workers ou hôtes proxifiés et ne fournit pas de relais.
pnpm 12.13 : commandes profile et token, et storeIndexFormat pour les stores partagés en réseau
Nouvelles commandes pnpm profile et pnpm token. Pour la CI : storeIndexFormat: files conserve un fichier d'index par paquet au lieu de l'index.db SQLite, dont le verrouillage ne fonctionne pas entre machines. Les réglages de package map sont regroupés sous nodePackageMap.
Turborepo 2.11.8 : flag expérimental setup et téléchargements via le gestionnaire de paquets du dépôt
Petit patch : ajoute un future flag expérimental setup, et les téléchargements automatiques de Turbo utilisent le gestionnaire de paquets du dépôt.
Tendances Notables
Journée sécurité pour la pile HTTP : request smuggling dans Kestrel et correctif incomplet dans Fastify rappellent que la normalisation des en-têtes reste un terrain miné.
AWS complète en quelques jours l'écosystème Lambda Web Functions : d'abord la primitive, puis CloudFront avec OAC comme point d'entrée.
L'outillage JS se consolide : Vite+ 1.0 réunit build, test, lint et hooks dans un seul CLI soutenu par Cloudflare.