Dev News: primer alpha de Node.js 27 con V8 15.6, Rspack 2.3 y seis advisories en SvelteKit
Solid 2.0.0-rc.20: derived stores más prolijos y un warning de instancias múltiples que ya no miente
Dos días después del rc.19, otra ronda sobre async: isPending de un derived store ya no da true durante una pasada en la primera carga (un <Show> podía montar contenido que no tocaba), y un derived store que lee un memo async vía latest() deja de mostrar su seed. El warning de «múltiples instancias de Solid» ahora salta solo cuando dos copias se cruzan de verdad, así que un panel de devtools aislado ya no lo dispara.
decode-uri-component CVE-2026-118664: un request de 224 KB bloquea el event loop 20 segundos
Cuando el decodeURIComponent nativo tira error, la lib cae a un decoder custom que corre un replace con regex sobre todo el string por cada secuencia percent-encoded distinta: O(K·L). Un request sin autenticación de ~224 KB frena el event loop ~20 s (CVSS v4 8.2). Lo peor: la 0.5.0, la que había arreglado CVE-2026-45822, también está afectada. Es dependencia transitiva de medio ecosistema (vía query-string), así que fijate en tu lockfile y subí a 0.5.1.
rolldown 1.2.16: un perf-kit y reportes de build pensados para coding agents
El bundler detrás de Vite suma un perf-kit con un harness de page-load en el navegador para coding agents, modo de arranque para servers Node/Deno y chequeo del output contra el build original, más un modo report en devtools que da métricas de build legibles por un agente. También pliega 'key' in ns sobre namespace imports con exports estáticos y habilita experimentalInlineCommonChunks en dev. Los bundlers empiezan a diseñar su salida para que la lea una IA, no solo vos.
Bug0 QA Agent: tests de regresión en inglés que se cachean como replays de Playwright
Linearbytes publicó una librería source-available para Playwright: escribís los pasos en inglés dentro de un spec normal, un agente resuelve las acciones la primera vez y después esas operaciones se cachean y se reproducen directo con Playwright. Si un replay se rompe, el agente vuelve a tomar el control; las assertions las valida un modelo de visión en cada corrida. Interesante para bajar el costo de tests con agentes, pero ojo con assertions no deterministas en CI.
Tendencias Destacadas
Node 27 alpha trae cambios que no rompen la compilación pero sí el runtime: datos serializados ilegibles para versiones viejas, un límite de heap distinto y resultados de <code>Math</code> que pueden cambiar en el último bit. Esos bugs no los atrapa el type checker; los atrapan tus tests de integración, si los corrés contra el alpha.
rolldown y Bug0 apuntan a lo mismo: el tooling ya diseña su salida para agentes, con reportes de build legibles por máquina y pasos de test que se cachean como replays deterministas.
Solid 2.0.0-rc.20: tidier derived stores and a multiple-instances warning that stops crying wolf
Two days after rc.19, another round of async fixes: isPending on a derived store no longer reads true for one pass on first load (a <Show> could mount content it shouldn't), and a derived store reading an async memo through latest() stops flashing its seed. The «multiple instances of Solid» dev warning now fires only when two copies actually meet, so an isolated devtools panel no longer triggers it.
decode-uri-component CVE-2026-118664: a 224 KB request blocks the event loop for 20 seconds
When native decodeURIComponent throws, the library falls back to a custom decoder that runs a full-string regex replace per distinct percent-encoded run: O(K·L). A single unauthenticated ~224 KB request stalls the event loop for ~20 s (CVSS v4 8.2). Worse, 0.5.0, the release that fixed CVE-2026-45822, is affected too. It's a transitive dependency for a big slice of the ecosystem (through query-string), so check your lockfile and move to 0.5.1.
rolldown 1.2.16: a perf-kit and build reports designed for coding agents
The bundler behind Vite adds a perf-kit: a browser page-load harness for coding agents, a Node/Deno server startup mode and a check of rendered output against the original build, plus a devtools report mode with agent-readable build metrics. It also folds 'key' in ns on namespace imports with statically known exports and enables experimentalInlineCommonChunks in dev mode.
Bug0 QA Agent: plain-English regression tests cached as Playwright replays
Linearbytes released a source-available Playwright library: you write steps in plain English inside a standard spec, an agent works out the UI actions on the first run, and those browser operations are then cached and replayed directly through Playwright. If a replay breaks, the agent takes over again; assertions are checked by vision models on every run. A smart way to cut agent-testing cost, though vision-based assertions bring non-determinism to CI.
Notable Trends
The Node 27 alpha brings changes that don't break compilation but do break runtime: serialized data older versions can't read, a different heap limit and <code>Math</code> results that may differ in the last bit. A type checker won't catch these; integration tests run against the alpha will.
rolldown and Bug0 point the same way: tooling now designs its output for agents, with machine-readable build reports and test steps cached as deterministic replays.
Solid 2.0.0-rc.20 : derived stores plus propres et un warning d'instances multiples qui ne crie plus au loup
Deux jours après la rc.19, nouvelle série de correctifs async : isPending sur un derived store ne vaut plus true pendant une passe au premier chargement (un <Show> pouvait monter du contenu indésirable), et un derived store qui lit un memo async via latest() n'affiche plus sa seed. Le warning « plusieurs instances de Solid » ne se déclenche plus que lorsque deux copies se rencontrent vraiment.
decode-uri-component CVE-2026-118664 : une requête de 224 Ko bloque l'event loop 20 secondes
Quand le decodeURIComponent natif lève une erreur, la bibliothèque bascule sur un décodeur maison qui exécute un replace par regex sur toute la chaîne pour chaque séquence percent-encoded distincte : O(K·L). Une seule requête non authentifiée d'environ 224 Ko bloque l'event loop ~20 s (CVSS v4 8,2). La 0.5.0, qui corrigeait CVE-2026-45822, est elle aussi touchée. Vérifiez votre lockfile et passez en 0.5.1.
rolldown 1.2.16 : un perf-kit et des rapports de build pensés pour les agents de code
Le bundler derrière Vite ajoute un perf-kit : un harness de chargement de page dans le navigateur pour les agents de code, un mode de démarrage pour serveurs Node/Deno et une vérification du rendu face au build d'origine, plus un mode report dans les devtools avec des métriques lisibles par un agent. Il replie aussi 'key' in ns sur les imports namespace aux exports connus statiquement.
Bug0 QA Agent : tests de régression en anglais mis en cache comme replays Playwright
Linearbytes a publié une bibliothèque Playwright source-available : on écrit les étapes en anglais dans un spec classique, un agent détermine les actions au premier passage, puis ces opérations sont mises en cache et rejouées directement par Playwright. Si un replay casse, l'agent reprend la main ; les assertions sont vérifiées par des modèles de vision à chaque exécution.
Tendances Notables
L'alpha de Node 27 apporte des changements qui ne cassent pas la compilation mais bien le runtime : des données sérialisées illisibles pour les anciennes versions, une autre limite de heap et des résultats de <code>Math</code> qui peuvent varier au dernier bit. Le type checker ne les verra pas ; des tests d'intégration lancés contre l'alpha, si.
rolldown et Bug0 vont dans le même sens : l'outillage conçoit désormais sa sortie pour les agents, avec des rapports de build lisibles par machine et des étapes de test mises en cache comme replays déterministes.