Dev News — 1 Oct 2026: Next.js parchea 7 advisories, axios recibe 13 y SvelteKit 3 llega a RC
vscode-typescript v1.0.1 aparece en el repo de TypeScript, empaquetando TS 7.0.2
Primer release con tag vscode-typescript/* en microsoft/TypeScript: la extensión de VS Code trae embebido TypeScript 7.0.2, el compilador nativo. Las notas son de una línea, así que todavía no hay detalle de qué cambia frente al soporte built-in del editor.
Angular 22.2.1, 21.2.25 y 20.3.33: DoS y open redirect en el router con SSR
Dos advisories nuevos en @angular/router con SSR: un DoS high por segmentos de outlet auxiliares vacíos que el router reevalúa sin fin, y un open redirect medium vía URLs protocol-relative. El patch también endurece el sanitizer de URLs (bloquea data: y vbscript: peligrosos). La 19.x quedó fuera de soporte y no se parchea.
Adapters de Astro: crash del Node adapter por Host header y SSRF en Netlify Image CDN
Un puerto malformado en el header Host puede tirar abajo @astrojs/node (high, fix en 11.1.3), y un bypass del allowlist de Netlify Image CDN habilita SSRF en @astrojs/netlify (medium, fix en 8.2.4). Si deployás Astro en modo server, actualizá el adapter.
VS Code 1.140: sesiones de agente multi-carpeta, delegación remota y node_modules compartido entre worktrees
Una sesión de agente ahora coordina varios repos o worktrees, puede delegar tareas a hosts remotos, y los worktrees pueden compartir carpetas ignoradas como node_modules vía symlinks — chau reinstalar por cada rama. Suma el «Copilot harness» unificado y controles enterprise para fijar versión mínima y el tier del modelo Auto.
Vitest 5.0.3: fixes de browser mode, cache de módulos y pin de why-is-node-running
Patch grande: el cache revalida imports de módulos cacheados, toMatchScreenshot ya no usa la referencia equivocada en retries, y se pinea why-is-node-running a 3.2.1 para evitar ERR_PNPM_TRUST_DOWNGRADE con pnpm. Si usás pnpm 12 con trust policies, este fix te importa.
Tendencias Destacadas
Semana de parches coordinados: Next.js, Angular, Astro y axios publicaron advisories el mismo 30/09 — y casi todos apuntan a SSR, cache y SSRF en el server.
El tooling se adapta a los worktrees: VS Code comparte node_modules entre ramas y las sesiones de agente abarcan varios repos.
vscode-typescript v1.0.1 lands in the TypeScript repo, bundling TS 7.0.2
The first vscode-typescript/* tagged release in microsoft/TypeScript: a VS Code extension that bundles TypeScript 7.0.2, the native compiler. The notes are a single line, so there is no detail yet on how it differs from the editor's built-in support.
Angular 22.2.1, 21.2.25 and 20.3.33: router DoS and open redirect under SSR
Two new @angular/router SSR advisories: a high DoS where unconfigured empty-path outlet segments make the router re-evaluate routes endlessly, and a medium open redirect via protocol-relative URLs. The patch also hardens the URL sanitizer against dangerous data: and vbscript: URLs. 19.x is out of support and will not be patched.
Astro adapters: Node adapter crash via Host header and Netlify Image CDN SSRF
A malformed port in the Host header can crash @astrojs/node (high, fixed in 11.1.3), and a Netlify Image CDN allowlist bypass enables SSRF in @astrojs/netlify (medium, fixed in 8.2.4). Server-mode Astro deployments should bump their adapter.
VS Code 1.140: multi-folder agent sessions, remote delegation and shared node_modules across worktrees
A single agent session can now coordinate multiple repos or worktrees, delegate work to remote hosts, and worktrees can share ignored folders like node_modules via symlinks, so no reinstall per branch. It also brings a unified Copilot harness and enterprise controls for minimum versions and the default Auto model tier.
Vitest 5.0.3: browser mode, module cache fixes and a why-is-node-running pin
A hefty patch: the cache now revalidates imports of cached modules, toMatchScreenshot no longer uses the wrong reference on retries, and why-is-node-running is pinned to 3.2.1 to avoid ERR_PNPM_TRUST_DOWNGRADE under pnpm.
Notable Trends
Coordinated patch day: Next.js, Angular, Astro and axios all published advisories on 30 Sep — nearly all targeting SSR, caching and server-side SSRF.
Tooling is adapting to worktree-heavy workflows: VS Code shares node_modules across branches and agent sessions span multiple repos.
vscode-typescript v1.0.1 publié dans le dépôt TypeScript, avec TS 7.0.2
Première release taguée vscode-typescript/* dans microsoft/TypeScript : une extension VS Code qui embarque TypeScript 7.0.2, le compilateur natif. Les notes tiennent en une ligne, sans détail sur la différence avec le support intégré.
Angular 22.2.1, 21.2.25 et 20.3.33 : DoS et redirection ouverte du router en SSR
Deux nouveaux avis SSR pour @angular/router : un DoS haut où des segments d'outlet vides non configurés font boucler la reconnaissance de routes, et une redirection ouverte moyenne via des URL protocol-relative. Le patch durcit aussi le sanitizer contre data: et vbscript:. La 19.x n'est pas corrigée.
Adaptateurs Astro : crash de l'adaptateur Node via Host et SSRF Netlify Image CDN
Un port malformé dans l'en-tête Host peut faire planter @astrojs/node (haut, corrigé en 11.1.3), et un contournement de l'allowlist Netlify Image CDN permet un SSRF dans @astrojs/netlify (moyen, corrigé en 8.2.4).
VS Code 1.140 : sessions d'agent multi-dossiers, délégation distante et node_modules partagé entre worktrees
Une session d'agent peut coordonner plusieurs dépôts ou worktrees et déléguer à des hôtes distants, et les worktrees peuvent partager des dossiers ignorés comme node_modules via des liens symboliques. S'y ajoutent un harness Copilot unifié et des contrôles entreprise.
Vitest 5.0.3 : correctifs du mode navigateur, du cache de modules et pin de why-is-node-running
Un patch costaud : le cache revalide les imports des modules mis en cache, toMatchScreenshot n'utilise plus la mauvaise référence lors des retries, et why-is-node-running est épinglé à 3.2.1 pour éviter ERR_PNPM_TRUST_DOWNGRADE avec pnpm.
Tendances Notables
Journée de correctifs coordonnés : Next.js, Angular, Astro et axios ont publié des avis le 30 sept. — presque tous sur le SSR, le cache et le SSRF côté serveur.
L'outillage s'adapte aux worktrees : VS Code partage node_modules entre branches et les sessions d'agent couvrent plusieurs dépôts.