OpenNext Cloudflare: paths encodeados saltean el middleware vía caché
CVE-2026-100409. Con enableCacheInterception activado, un path percent-encoded no matchea el middleware de auth pero se decodifica a la cache key de una ruta protegida. Viene apagado por defecto, pero si lo prendiste, subí a @opennextjs/[email protected].
Next.js 16.4.2: tanda de fixes de Turbopack
Backports a la línea LTS activa: consistencia de snapshots en turbo-tasks, dos paths del GC que dejaban edges de dependencias a medio desarmar, colisiones de chunk-lists en dynamic imports lazy, y resolución de módulos que ahora ignora errores de realpath como hace Node.
Astro 7.4: astro build --timings y providers de fuentes más inteligentes
El nuevo flag astro build --timings imprime un resumen de dónde se va el tiempo del build: integraciones, plugins de Markdown, imágenes, syntax highlighting. Además, los font providers suman getFontProperties() para avisarte si pedís un peso que la familia no tiene, y un fetch() con reintentos en el contexto de init(). Ojo si mantenés un provider custom: getFontProperties() será obligatorio en Astro 8.
pnpm 12.14: sideEffectsCache.exclude e installs que no esperan al update check
Nuevo setting sideEffectsCache.exclude para paquetes nativos cuyo build depende de libs del sistema que pnpm no puede meter en la cache key: se rebuildean siempre, local y en remoteCache. Además, pnpm install ya no espera el chequeo diario de updates (en registries colgados tardaba minutos), y se reusa el lockfile aunque haya entradas de catalog sin usar.
Vitest 5.0.5: fs.deny respetado con el token de la API
Patch con un fix que importa: se mantiene el fs.deny por defecto de Vite cuando hay archivo de token de la API. Además corre cleanups de hooks aunque falle un hook posterior, libera mocks de archivos terminados y aborta todos los tests al cancelar. La línea 4.x recibe lo mismo en v4.1.12.
Tendencias Destacadas
Otra vez los frameworks fullstack en la mira: TanStack Start, Qwik y OpenNext parchean el mismo día. Las server functions y los transportes de serialización son la superficie de ataque de 2026, ojo con eso.
React Native sigue la racha de releases sin breaking changes: revertir un cambio de codegen para no romper módulos de 0.87 muestra que la estabilidad ahora es prioridad.
OpenNext Cloudflare: encoded paths bypass middleware through the cache
CVE-2026-100409. With enableCacheInterception on, a percent-encoded path misses the auth middleware but decodes into a protected route's cache key. It is off by default; if you enabled it, upgrade to @opennextjs/[email protected].
Next.js 16.4.2: a batch of Turbopack fixes
Backports to the active LTS line: turbo-tasks snapshot consistency, two GC paths that left half-torn-down dependency edges, lazy dynamic-import chunk-list collisions, and module resolution that now ignores realpath errors like Node does.
Astro 7.4: astro build --timings and smarter font providers
The new astro build --timings flag prints a summary of where build time goes: integrations, Markdown plugins, images, syntax highlighting. Font providers also gain getFontProperties() to warn when you request a weight a family lacks, plus a retrying fetch() in the init() context. If you maintain a custom provider, getFontProperties() becomes required in Astro 8.
pnpm 12.14: sideEffectsCache.exclude and installs that skip waiting on the update check
New sideEffectsCache.exclude setting for native packages whose build depends on system libraries pnpm cannot put in the cache key: they always rebuild, locally and on remoteCache. Also, pnpm install no longer waits on the daily update check (it took minutes against hung registries), and the lockfile is reused even with unused catalog entries.
Vitest 5.0.5: fs.deny preserved alongside the API token
A patch with one fix that matters: Vite's default fs.deny is kept when an API token file is present. It also runs hook cleanups when a later hook fails, releases mocks of finished files and aborts all tests on cancel. The 4.x line gets the same in v4.1.12.
Notable Trends
Fullstack frameworks are in the crosshairs again: TanStack Start, Qwik and OpenNext all patched on the same day. Server functions and serialization transports are 2026's attack surface.
React Native keeps its streak of non-breaking releases: reverting a codegen change to avoid breaking 0.87 modules shows stability is now a priority.
OpenNext Cloudflare : des chemins encodés contournent le middleware via le cache
CVE-2026-100409. Avec enableCacheInterception activé, un chemin percent-encodé échappe au middleware d'auth mais se décode vers la clé de cache d'une route protégée. Désactivé par défaut ; si vous l'avez activé, passez à @opennextjs/[email protected].
Next.js 16.4.2 : une série de correctifs Turbopack
Backports vers la ligne LTS active : cohérence des snapshots turbo-tasks, deux chemins du GC qui laissaient des arêtes de dépendances à moitié démontées, collisions de chunk-lists pour les imports dynamiques lazy, et une résolution de modules qui ignore désormais les erreurs realpath comme Node.
Astro 7.4 : astro build --timings et des fournisseurs de polices plus malins
Le nouveau flag astro build --timings affiche où part le temps de build : intégrations, plugins Markdown, images, coloration syntaxique. Les font providers gagnent getFontProperties() pour signaler un poids absent d'une famille, et un fetch() avec reprises dans le contexte init(). Si vous maintenez un provider custom, getFontProperties() deviendra obligatoire dans Astro 8.
pnpm 12.14 : sideEffectsCache.exclude et des installs qui n'attendent plus le check de mise à jour
Nouveau réglage sideEffectsCache.exclude pour les paquets natifs dont le build dépend de bibliothèques système que pnpm ne peut pas inclure dans la clé de cache : ils sont toujours reconstruits, en local comme sur remoteCache. Et pnpm install n'attend plus le check quotidien de mise à jour (des minutes face à un registry bloqué).
Vitest 5.0.5 : fs.deny préservé avec le jeton d'API
Un patch avec un correctif qui compte : le fs.deny par défaut de Vite est conservé quand un fichier de jeton d'API est présent. Il exécute aussi les cleanups de hooks quand un hook ultérieur échoue, libère les mocks des fichiers terminés et annule tous les tests à l'arrêt.
Tendances Notables
Les frameworks fullstack sont encore visés : TanStack Start, Qwik et OpenNext corrigent le même jour. Les server functions et les transports de sérialisation sont la surface d'attaque de 2026.
React Native poursuit sa série de versions sans rupture : annuler un changement de codegen pour ne pas casser les modules 0.87 montre que la stabilité est désormais prioritaire.