Next.js 16.4.6: compresión automática en route handlers
Backport LTS: las respuestas de route handlers ahora se comprimen solas si no venían comprimidas, hay fixes de GC de Turbopack en dev y create-next-app pinea Tailwind 4.3.3. Si servís JSON pesado desde route.ts, vas a notar la diferencia en el payload sin tocar nada.
React Native 0.89 RC.1: WebSockets en el panel Network de DevTools
El segundo RC suma inspección de eventos WebSocket en el panel Network de React Native DevTools, sube Hermes y Metro 0.88, y hace el transform cache de Metro compartible entre checkouts (buenísimo para CI y worktrees). Momento ideal para probar tu app contra 0.89 antes del estable.
@astrojs/ts-plugin 1.11: auto-imports con el nombre real del componente
Junto con Astro 7.4.8, el plugin de TypeScript deja de sugerir el nombre TSX generado en los auto-imports y usa el del componente .astro. Ojo: ahora pide Node ^20.19.0 || >=22.12.0.
Rolldown 1.3.1 (+ backports a 1.2, 1.1 y 1.0)
Rolldown sacó cinco versiones el mismo día: el fix que escapa nombres de módulo en los stubs de error de vite-resolve es justamente el que cierra el RCE de Vite 8. Además trae inlining de chunks con import.meta.ROLLDOWN_FILE_URL_* y una docena de fixes de tree-shaking y linking.
esm.sh: lectura arbitraria de archivos en instancias self-hosted
GHSA-g3c2-rjq2-c763 (CVSS 7.5): web.NewHandler permitía path traversal con dot-segments encodeados. Si corrés tu propio esm.sh como CDN interno, actualizá a 0.2.0.
Storybook 11 beta.1: CSF4 por default y menos dependencias
storybook init ya scaffoldea CSF4, react-docgen pasa a ser opcional y se bundlean/prebundlean varias deps chicas (adiós a ~10 paquetes instalados). El addon de Vitest corre stories nuevas que todavía no vio. Si mantenés un design system, es buen momento para probar la migración.
oxlint 1.93: --fix limpia directivas oxlint-disable sin uso
--fix ahora borra directivas oxlint-disable que no hacen nada, react/exhaustive-deps sugiere remover dependencias de más, y tsgolint arranca antes del pase normal para recortar tiempos en lint con tipos.
Tendencias Destacadas
El dev server es superficie de ataque: otra vez Vite, y otra vez solo si lo exponés con --host. Revisá tus devcontainers y docker-compose.
Con Vite 8 sobre Rolldown, los fixes de seguridad viven en el binario de Rolldown: los parches se coordinan entre ambos proyectos y salen en tanda por rama.
Next.js 16.4.6: automatic compression for route handlers
LTS backport: route handler responses are now compressed automatically when not already compressed, Turbopack dev GC fixes land, and create-next-app pins Tailwind 4.3.3. Heavy JSON from route.ts gets smaller payloads for free.
React Native 0.89 RC.1: WebSockets in the DevTools Network panel
The second RC adds WebSocket event inspection to the React Native DevTools Network panel, bumps Hermes and Metro 0.88, and makes Metro's transform cache shareable across checkouts (great for CI and worktrees).
@astrojs/ts-plugin 1.11: auto-imports use the real component name
Shipped with Astro 7.4.8, the TypeScript plugin now suggests the .astro component name instead of its generated TSX name in auto-imports. It now requires Node ^20.19.0 || >=22.12.0.
Rolldown 1.3.1 (+ backports to 1.2, 1.1 and 1.0)
Rolldown shipped five versions in one day: the fix escaping module names in vite-resolve error stubs is the one closing Vite 8's RCE. It also adds chunk inlining with import.meta.ROLLDOWN_FILE_URL_* and a dozen tree-shaking and linking fixes.
esm.sh: arbitrary file read in self-hosted instances
GHSA-g3c2-rjq2-c763 (CVSS 7.5): web.NewHandler allowed path traversal through encoded dot-segments. If you run your own esm.sh as an internal CDN, upgrade to 0.2.0.
Storybook 11 beta.1: CSF4 by default and fewer dependencies
storybook init now scaffolds CSF4, react-docgen becomes optional, and several small deps are bundled or prebundled (about 10 fewer installed packages). The Vitest addon now runs story files it hasn't seen yet.
oxlint 1.93: --fix removes unused oxlint-disable directives
--fix now removes unused oxlint-disable directives, react/exhaustive-deps suggests removing extra dependencies, and tsgolint starts before the regular pass to cut type-aware lint time.
Notable Trends
The dev server is attack surface: Vite again, and again only when exposed with --host. Audit your devcontainers and docker-compose files.
With Vite 8 on Rolldown, security fixes live in the Rolldown binary: patches are coordinated across both projects and ship per branch in batches.
Next.js 16.4.6 : compression automatique des route handlers
Backport LTS : les réponses des route handlers sont désormais compressées automatiquement, avec des correctifs GC de Turbopack en dev et Tailwind 4.3.3 épinglé dans create-next-app.
React Native 0.89 RC.1 : WebSockets dans le panneau Network de DevTools
Le second RC ajoute l'inspection des événements WebSocket dans le panneau Network, passe à Hermes récent et Metro 0.88, et rend le cache de transformation de Metro partageable entre checkouts.
@astrojs/ts-plugin 1.11 : auto-imports avec le vrai nom du composant
Publié avec Astro 7.4.8, le plugin TypeScript suggère désormais le nom du composant .astro dans les auto-imports. Requiert Node ^20.19.0 || >=22.12.0.
Rolldown 1.3.1 (+ backports vers 1.2, 1.1 et 1.0)
Cinq versions de Rolldown le même jour : le correctif d'échappement des noms de modules dans les stubs d'erreur de vite-resolve ferme la RCE de Vite 8. Plus l'inlining de chunks via import.meta.ROLLDOWN_FILE_URL_*.
esm.sh : lecture arbitraire de fichiers sur les instances auto-hébergées
GHSA-g3c2-rjq2-c763 (CVSS 7.5) : web.NewHandler permettait un path traversal via des dot-segments encodés. Mettez à jour vers 0.2.0.
Storybook 11 beta.1 : CSF4 par défaut et moins de dépendances
storybook init génère désormais du CSF4, react-docgen devient optionnel et plusieurs petites dépendances sont bundlées (environ 10 paquets de moins).
oxlint 1.93 : --fix supprime les directives oxlint-disable inutilisées
--fix supprime les directives oxlint-disable inutilisées, react/exhaustive-deps suggère de retirer les dépendances superflues et tsgolint démarre plus tôt.
Tendances Notables
Le serveur de dev est une surface d'attaque : encore Vite, encore seulement avec --host. Vérifiez vos devcontainers et docker-compose.
Avec Vite 8 sur Rolldown, les correctifs de sécurité vivent dans le binaire Rolldown et sortent par lots coordonnés.