Chrome abre un origin trial de la Email Verification API
La propuesta del WICG deja que el navegador confirme que el usuario es dueño del email, sin mandarle un mail. Funciona con un modelo de tres partes: el sitio, el proveedor de correo y el navegador. Gmail es el primer proveedor. El trial arrancó en Chrome 150 para desktop, y Chrome 154 sumó Android y orígenes third-party. Para usarla, marcás el input con autocomplete="email", agregás un campo oculto con un nonce atado a la sesión y validás la firma del token en el server. Si la API no está disponible, mandás el mail de confirmación de siempre. Ojo: todavía es un trial, así que no saques ese mail de tu flujo.
vue-i18n CVE-2026-118257: escapeParameter no frena un XSS vía srcdoc
Si confiabas en escapeParameter para renderizar traducciones con v-html, ojo con esto. Un mensaje puede inyectar HTML a través de un atributo srcdoc de un iframe, y el escape no lo frena (severidad high). Está arreglado en vue-i18n y petite-vue-i18n 11.4.14 y en 12.0.0-alpha.5. Las versiones 9.14.5 y 10.0.8 figuran como afectadas y no tienen parche, así que si seguís en esas ramas, toca migrar. Un segundo advisory, de severidad low, muestra que los named values tampoco se escapan cuando la misma llamada pasa también una lista.
Astro 7.4.3: CSP sin el hash vacío, srcset sin duplicados y ClientRouter más prolijo
Es un patch con muchos fixes. Lo más útil: la CSP ya no mete el SHA-256 del string vacío en script-src/style-src para scripts y estilos externos, y los hashes de Astro.csp que se agregan desde el <body> ahora sí llegan al <meta> en builds estáticos, MDX incluido. Además, <Image>/<Picture> ya no duplican candidatos en srcset, y <ClientRouter /> restaura el scroll al instante aunque tengas scroll-behavior: smooth. A la tarde salió 7.4.4, con soporte de versiones tagged en astro add.
@hono/node-server 2.1.3: serveStatic decodificaba el path dos veces
CVE-2026-118663: serveStatic volvía a decodificar el path del request, así que un path con doble encoding pasaba el middleware que protegía rutas estáticas, como el auth de una carpeta. Afecta >= 1.19.10, < 2.1.3. Si servís estáticos con Hono sobre Node, actualizá. El mismo día, Echo (Go) publicó un lote de advisories con el mismo patrón de doble unescape: es un bug que se repite en todos lados.
VS Code 1.144: editor de Markdown renderizado y agentes que validan en el navegador
Para frontend, lo más interesante es que los agentes ahora pueden usar el navegador para validar sus propios resultados, algo clave cuando tocan UI. También podés editar Markdown directamente renderizado, y suma Copilot Fusion, que elige y coordina modelos por request con niveles de esfuerzo Standard/High/Max. En preview hay generación de imágenes en el chat y connectors (Slack, Notion, Microsoft Learn). Las cloud sessions ejecutan tareas en la infraestructura de GitHub sin que tu máquina tenga que estar prendida. No hay cambios fuertes de TypeScript ni de debugging.
happy-dom CVE-2026-118660: SSRF vía iframe y link stylesheet, fix en 21.0.0
Mucha gente usa happy-dom como DOM de Vitest, pero también para parsear HTML en el server. Ahí está el riesgo: si le pasás HTML que no controlás, un <iframe> o un <link rel=stylesheet> hacen que el proceso pida URLs arbitrarias, incluida tu red interna (severidad high). Hay un segundo advisory por cookies con Domain= mal acotado. El fix llega recién en 21.0.0, una major, así que revisá el changelog antes de subir de versión.
Biome 2.6.4: noNull, noReturnArrayPush y más reglas nursery
Biome sigue sumando reglas nursery. noNull sugiere undefined en lugar de null, pero deja pasar === null. noReturnArrayPush marca el uso del valor de retorno de push()/unshift(), que devuelve el nuevo largo y no el item. Completan la lista noMagicArrayFlatDepth y noConsoleSpaces. Están en nursery, así que activalas a mano si te interesan.
Tendencias Destacadas
El 28 de octubre salió un batch enorme de advisories, y el patrón se repite: XSS en libs que reciben config como data (Highcharts, vue-i18n) y bypasses de middleware por doble decodificación de paths (Hono, Echo). Si tu app arma UI con config que viene de un CMS, tratá esa config como input no confiable.
Chrome opens an origin trial for the Email Verification API
This WICG proposal lets the browser confirm that a user owns an email address without sending a message. It uses a three-party model: the site, the mailbox provider and the browser. Gmail is the first provider. The trial started in Chrome 150 on desktop, and Chrome 154 added Android and third-party origins. To use it, you mark the input with autocomplete="email", add a hidden field with a session-bound nonce and validate the token signature on the server. When the API isn't available, you send the usual confirmation email. It's still a trial, so keep that email in your flow.
vue-i18n CVE-2026-118257: escapeParameter doesn't stop a srcdoc XSS
If you relied on escapeParameter to render translations with v-html, take note. A message can inject HTML through an iframe srcdoc attribute, and the escaping doesn't stop it (high severity). It's fixed in vue-i18n and petite-vue-i18n 11.4.14 and in 12.0.0-alpha.5. Versions 9.14.5 and 10.0.8 are listed as affected with no patch, so if you're still on those branches, it's time to migrate. A second, low-severity advisory shows that named values aren't escaped either when the same call also passes a list.
Astro 7.4.3: CSP without the empty hash, deduplicated srcset and a tidier ClientRouter
A patch with many fixes. The most useful: CSP no longer adds the SHA-256 of the empty string to script-src/style-src for external scripts and styles, and Astro.csp hashes added from inside <body> now reach the <meta> element in static builds, MDX included. <Image>/<Picture> also stop emitting duplicate srcset candidates, and <ClientRouter /> restores scroll instantly even with scroll-behavior: smooth. 7.4.4 followed later that day, adding tagged versions to astro add.
@hono/node-server 2.1.3: serveStatic decoded the path twice
CVE-2026-118663: serveStatic decoded the request path a second time, so a double-encoded path got past middleware that guarded static routes, such as auth on a folder. Versions >= 1.19.10, < 2.1.3 are affected. If you serve static files with Hono on Node, upgrade. The same day, Echo (Go) published a batch of advisories with the same double-unescape pattern: it's a bug that keeps turning up everywhere.
VS Code 1.144: a rendered Markdown editor and agents that check their work in the browser
For frontend work, the most interesting change is that agents can now use the browser to check their own results, which matters when they touch UI. You can also edit Markdown directly in rendered form, and Copilot Fusion picks and coordinates models per request with Standard/High/Max effort levels. Image generation in chat and connectors (Slack, Notion, Microsoft Learn) are in preview. Cloud sessions run tasks on GitHub's infrastructure without keeping your machine online. There are no major TypeScript or debugging changes.
happy-dom CVE-2026-118660: SSRF via iframe and link stylesheet, fixed in 21.0.0
Many people use happy-dom as Vitest's DOM, but also to parse HTML on the server. That's where the risk is: if you feed it HTML you don't control, an <iframe> or a <link rel=stylesheet> makes the process request arbitrary URLs, your internal network included (high severity). A second advisory covers cookie Domain= matching without a label boundary. The fix only lands in 21.0.0, a major release, so check the changelog before upgrading.
Biome 2.6.4: noNull, noReturnArrayPush and more nursery rules
Biome keeps adding nursery rules. noNull suggests undefined instead of null but allows === null. noReturnArrayPush flags code that uses the return value of push()/unshift(), which is the new length, not the item. noMagicArrayFlatDepth and noConsoleSpaces round out the list. They're in nursery, so you have to enable them yourself.
Notable Trends
October 28 brought a huge advisory batch, and the pattern repeats: XSS in libraries that take config as data (Highcharts, vue-i18n) and middleware bypasses through double path decoding (Hono, Echo). If your app builds UI from CMS-supplied config, treat that config as untrusted input.
Chrome ouvre un origin trial pour l'Email Verification API
Cette proposition du WICG permet au navigateur de confirmer qu'un utilisateur possède une adresse email sans lui envoyer de message. Elle repose sur trois parties : le site, le fournisseur de messagerie et le navigateur. Gmail est le premier fournisseur. Le trial a démarré dans Chrome 150 sur desktop, et Chrome 154 a ajouté Android et les origines tierces. Pour l'utiliser, on marque l'input avec autocomplete="email", on ajoute un champ caché avec un nonce lié à la session et on valide la signature du jeton côté serveur. Sans l'API, on envoie l'email de confirmation habituel. C'est encore un trial : gardez cet email dans votre flux.
vue-i18n CVE-2026-118257 : escapeParameter n'empêche pas une XSS via srcdoc
Si vous comptiez sur escapeParameter pour afficher des traductions avec v-html, attention. Un message peut injecter du HTML via l'attribut srcdoc d'une iframe, et l'échappement ne le bloque pas (sévérité high). C'est corrigé dans vue-i18n et petite-vue-i18n 11.4.14 ainsi que 12.0.0-alpha.5. Les versions 9.14.5 et 10.0.8 sont listées comme touchées sans correctif : si vous êtes encore sur ces branches, il faut migrer. Un second avis, de sévérité low, montre que les named values ne sont pas échappées non plus quand le même appel passe aussi une liste.
Astro 7.4.3 : CSP sans hash vide, srcset dédupliqué et ClientRouter plus propre
Un patch avec beaucoup de correctifs. Le plus utile : la CSP n'ajoute plus le SHA-256 de la chaîne vide dans script-src/style-src pour les scripts et styles externes, et les hashes Astro.csp ajoutés depuis le <body> arrivent enfin dans le <meta> des builds statiques, MDX compris. <Image>/<Picture> n'émettent plus de candidats srcset en double, et <ClientRouter /> restaure le scroll instantanément même avec scroll-behavior: smooth. 7.4.4 a suivi plus tard dans la journée, avec les versions taguées dans astro add.
@hono/node-server 2.1.3 : serveStatic décodait le chemin deux fois
CVE-2026-118663 : serveStatic décodait une seconde fois le chemin de la requête, donc un chemin double-encodé passait le middleware qui protégeait les routes statiques, comme l'auth d'un dossier. Versions >= 1.19.10, < 2.1.3 touchées. Si vous servez des fichiers statiques avec Hono sur Node, mettez à jour. Le même jour, Echo (Go) a publié un lot d'avis avec le même schéma de double unescape : c'est un bug qui revient partout.
VS Code 1.144 : éditeur Markdown rendu et agents qui vérifient dans le navigateur
Pour le frontend, le plus intéressant est que les agents peuvent maintenant utiliser le navigateur pour vérifier leurs propres résultats, ce qui compte quand ils touchent à l'UI. On peut aussi éditer le Markdown directement en mode rendu, et Copilot Fusion choisit et coordonne les modèles par requête, avec des niveaux d'effort Standard/High/Max. La génération d'images dans le chat et les connecteurs (Slack, Notion, Microsoft Learn) sont en preview. Les cloud sessions exécutent des tâches sur l'infrastructure de GitHub sans garder votre machine allumée. Pas de changement majeur côté TypeScript ou debugging.
happy-dom CVE-2026-118660 : SSRF via iframe et link stylesheet, corrigé en 21.0.0
Beaucoup utilisent happy-dom comme DOM de Vitest, mais aussi pour parser du HTML côté serveur. C'est là qu'est le risque : si vous lui passez du HTML que vous ne contrôlez pas, un <iframe> ou un <link rel=stylesheet> fait requêter des URL arbitraires au processus, réseau interne compris (sévérité high). Un second avis concerne le matching Domain= des cookies sans frontière de label. Le correctif n'arrive qu'en 21.0.0, une version majeure : lisez le changelog avant de mettre à jour.
Biome 2.6.4 : noNull, noReturnArrayPush et d'autres règles nursery
Biome continue d'ajouter des règles nursery. noNull suggère undefined au lieu de null mais tolère === null. noReturnArrayPush signale l'usage de la valeur de retour de push()/unshift(), qui est la nouvelle longueur et non l'élément. noMagicArrayFlatDepth et noConsoleSpaces complètent la liste. Elles sont en nursery : il faut les activer soi-même.
Tendances Notables
Le 28 octobre a apporté un énorme lot d'avis, et le schéma se répète : XSS dans des bibliothèques qui prennent leur config comme donnée (Highcharts, vue-i18n) et contournements de middleware par double décodage des chemins (Hono, Echo). Si votre app construit son UI à partir d'une config venue d'un CMS, traitez-la comme une entrée non fiable.