Next.js 16.4.0-canary.39 endurece la serialización SVG de next/og
El canary trae el hardening de next/og que acompaña al advisory, más un fix al loop de prefetch cuando una ruta predicha redirige, tracing de archivos estáticos en Turbopack y el scaffold de unstable_ensureStatic para PPF.
React Native 0.88.0-rc.2 revierte los cambios de codegen que rompían TurboModules
El equipo insiste en que 0.88 es un release no-breaking y revierte dos cambios de codegen: vuelve NSMutableData * para métodos ObjC TurboModule con ArrayBuffer, y se acepta de nuevo EventEmitter<ArrayBuffer> en TurboModules C++. También restaura el fallback .js para deep imports legacy y sube Metro mínimo a 0.87.1.
@astrojs/react 7.0.0 saca Babel y mete Oxc, con React Compiler opt-in
La integración migra a @vitejs/plugin-react v6 usando Oxc para JSX y Fast Refresh. La opción babel desaparece: si tenías transforms propios, ahora van en @rolldown/plugin-babel dentro de vite.plugins. Aparece compiler: true para el React Compiler basado en Oxc, que memoiza componentes cliente y hooks (el render de servidor no se compila).
Astro 7.3.4 arregla el dev server que reevaluaba todo el grafo en cada request
El plugin astro:head-metadata invalidaba su propio módulo virtual desde su hook transform, encadenando reevaluaciones. Los adapters que corren fuera del module runner de Vite —como @astrojs/cloudflare— pagaban un re-eval completo del grafo de servidor en cada request. También frena builds incrementales que re-renderizaban páginas sin cambios.
Rspack 2.2.7: dedupDepth recorta 9,9% el tamaño de salida
El nuevo optimization.splitChunks.dedupDepth te deja gastar más tiempo de build buscando código compartido: en una app con muchas rutas bajó el output total un 9,9%. Default 1 en producción, 0 en desarrollo. Además reduce trabajo repetido al construir el chunk graph y al generar class names de CSS Modules.
Changesets v3: solo ESM, instalación 88% más chica y peers en patch
Primer major en siete años. El paquete baja de 16,1 MB a 2,1 MB y de 95 a 39 dependencias. El cambio de comportamiento que más duele —y que la comunidad venía pidiendo hace años— es que los dependientes de un peer actualizado ahora reciben un patch y no un major. Requiere Node 22.11+, changeset tag pasa a git-tag y llegan pack y publish-plan.
Electron 44.4.4 arregla una tanda de bugs de DevTools en cuatro ramas
Se va el Cannot read properties of undefined (reading 'startTime') con las live metrics del panel Performance abiertas, el crash de setIgnoreMenuShortcuts() sobre DevTools y el error fantasma de sandboxed_renderer.bundle.js. Vuelve el cacheo de shaders Skia entre arranques y se arregla ready-to-show en ventanas ocultas de Windows y Linux.
Tendencias Destacadas
Tercer RCE crítico de Next.js en menos de un mes, y los tres entran por la superficie de generación de imágenes. Si tenés OG images dinámicas, esa route es tu perímetro: tratá cada searchParam como hostil.
Babel sigue siendo desalojado pieza por pieza: Astro cambia a Oxc para JSX y Fast Refresh, y hasta el React Compiler llega en versión Oxc. La cadena de toolchain en Rust ya no es una promesa, es el default.
Node se sigue comiendo a las utilidades chiquitas: throttle y debounce nativos son un lodash menos en cada backend. Y del otro lado, pnpm dedupea solo. El tooling está atacando el peso del node_modules desde los dos extremos.
Next.js 16.4.0-canary.39 hardens next/og SVG serialization
The canary lands the next/og hardening that accompanies the advisory, plus a fix for the prefetch loop when a predicted route redirects, Turbopack static project file tracing, and the unstable_ensureStatic segment config scaffold for PPF.
React Native 0.88.0-rc.2 reverts the codegen changes that broke TurboModules
The team is holding the line that 0.88 is a non-breaking release and reverts two codegen changes: NSMutableData * is back for ObjC TurboModule methods taking ArrayBuffer, and EventEmitter<ArrayBuffer> is accepted again in C++ TurboModules. It also restores the .js fallback for legacy deep imports and bumps minimum Metro to 0.87.1.
@astrojs/react 7.0.0 drops Babel for Oxc, with an opt-in React Compiler
The integration migrates to @vitejs/plugin-react v6 using Oxc for JSX and Fast Refresh. The babel option is gone: custom transforms now go through @rolldown/plugin-babel under vite.plugins. A new compiler: true flag enables the Oxc-based React Compiler, memoizing client components and hooks (server rendering is not compiled).
Astro 7.3.4 fixes the dev server re-evaluating the whole module graph per request
The astro:head-metadata plugin invalidated its own virtual module from its transform hook, chaining re-evaluations. Adapters running outside Vite's module runner — such as @astrojs/cloudflare — paid for a full server graph re-evaluation on every request. Incremental builds re-rendering unchanged pages are fixed too.
Rspack 2.2.7: dedupDepth cuts output size by 9.9%
The new optimization.splitChunks.dedupDepth lets you spend more build time hunting for shared code: on a route-heavy app it cut total output by 9.9%. Defaults to 1 in production, 0 in development. It also reduces repeated work in chunk graph construction and CSS Modules class name generation.
Changesets v3: ESM-only, 88% smaller install, peers bumped by patch
First major in seven years. The package drops from 16.1 MB to 2.1 MB and from 95 to 39 dependencies. The behavioral shift the community had been asking for: dependents of an updated peer now get a patch bump instead of a major. Requires Node 22.11+, changeset tag becomes git-tag, and new pack and publish-plan commands land.
Electron 44.4.4 fixes a batch of DevTools bugs across four branches
Gone: the Cannot read properties of undefined (reading 'startTime') thrown while Performance panel live metrics are active, the setIgnoreMenuShortcuts() crash on DevTools, and the spurious sandboxed_renderer.bundle.js console error. Skia shader caching between launches is back, and ready-to-show fires again for hidden Windows and Linux windows.
Notable Trends
Third critical Next.js RCE in under a month, and all three come in through the image-generation surface. If you ship dynamic OG images, that route is your perimeter — treat every searchParam as hostile.
Babel keeps getting evicted piece by piece: Astro swaps in Oxc for JSX and Fast Refresh, and even the React Compiler now ships in an Oxc flavor. The Rust toolchain is no longer a promise, it is the default.
Node keeps absorbing the small utilities: native throttle and debounce mean one less lodash in every backend. Meanwhile pnpm dedupes on its own. Tooling is attacking node_modules weight from both ends.
Next.js 16.4.0-canary.39 durcit la sérialisation SVG de next/og
Le canary apporte le durcissement de next/og lié à l'advisory, un correctif de la boucle de prefetch lorsqu'une route prédite redirige, le tracing des fichiers statiques dans Turbopack et le scaffold unstable_ensureStatic pour PPF.
React Native 0.88.0-rc.2 annule les changements de codegen cassant les TurboModules
L'équipe maintient que 0.88 est une version non-breaking et annule deux changements de codegen : NSMutableData * revient pour les méthodes ObjC TurboModule avec ArrayBuffer, et EventEmitter<ArrayBuffer> est de nouveau accepté dans les TurboModules C++. Metro minimum passe à 0.87.1.
@astrojs/react 7.0.0 abandonne Babel pour Oxc, avec React Compiler en option
L'intégration migre vers @vitejs/plugin-react v6 avec Oxc pour JSX et Fast Refresh. L'option babel disparaît : les transforms personnalisés passent par @rolldown/plugin-babel dans vite.plugins. Un nouveau compiler: true active le React Compiler basé sur Oxc.
Astro 7.3.4 corrige le dev server réévaluant tout le graphe à chaque requête
Le plugin astro:head-metadata invalidait son propre module virtuel depuis son hook transform, enchaînant les réévaluations. Les adapters hors du module runner de Vite — comme @astrojs/cloudflare — payaient une réévaluation complète du graphe serveur à chaque requête.
Rspack 2.2.7 : dedupDepth réduit la taille de sortie de 9,9 %
Le nouveau optimization.splitChunks.dedupDepth permet d'investir plus de temps de build pour trouver du code partagé : sur une app riche en routes, la sortie totale a baissé de 9,9 %. Par défaut 1 en production, 0 en développement.
Changesets v3 : ESM uniquement, installation 88 % plus légère, peers en patch
Premier major en sept ans. Le paquet passe de 16,1 Mo à 2,1 Mo et de 95 à 39 dépendances. Changement clé : les dépendants d'un peer mis à jour reçoivent désormais un patch et non un major. Node 22.11+ requis, changeset tag devient git-tag.
Electron 44.4.4 corrige une série de bugs DevTools sur quatre branches
Disparus : le Cannot read properties of undefined (reading 'startTime') avec les live metrics du panneau Performance, le crash de setIgnoreMenuShortcuts() sur DevTools et l'erreur fantôme sandboxed_renderer.bundle.js. Le cache de shaders Skia entre lancements revient.
Tendances Notables
Troisième RCE critique de Next.js en moins d'un mois, et les trois passent par la surface de génération d'images. Si vous avez des OG images dynamiques, cette route est votre périmètre.
Babel est évincé pièce par pièce : Astro passe à Oxc pour JSX et Fast Refresh, et même le React Compiler arrive en version Oxc. La chaîne d'outils Rust n'est plus une promesse, c'est le défaut.
Node continue d'absorber les petits utilitaires : throttle et debounce natifs, c'est un lodash de moins dans chaque backend. En parallèle, pnpm déduplique seul.