Backend & Fullstack Daily — 7 mai 2026

El gusano Mini Shai-Hulud — el mismo que el 29 de abril hundió a mbt, @cap-js/sqlite, @cap-js/postgres y @cap-js/db-service — ahora aparece dentro de [email protected], 7.0.5 y [email protected] en PyPI. El payload se ejecuta en un preinstall script antes que cualquier código de aplicación: barre tokens de npm, GitHub, AWS, Azure, GCP, secretos de GitHub Actions desde /proc/{pid}/mem, JSON de service accounts de Kubernetes y Azure Key Vault. Después se autopropaga publicando paquetes con tu credencial. Loco, si tu CI hace npm install sin pinning ni overrides ni --ignore-scripts, ya estás en la película. Activá lockfile signing, audit-level=high y rotá secretos YA si tocaste estas versiones.

Segundo release candidate de Drizzle hacia 1.0. La estrella sigue siendo el sistema JIT row mapper: compila la fase más cara del pipeline (mapear filas de DB a objetos JS) en runtime, dejando overhead de ORM cerca de cero — comparable a usar el driver crudo. RC.2 ajusta el codec system para PostgreSQL (deshabilita selectores de codec por defecto en columnas custom para evitar colisiones) y agrega chequeo de branches abiertas en historial de migraciones SQLite, así dejás de pisarte el merge entre features. Sumá soporte nativo para Effect v4, MSSQL y la API de casing reescrita (breaking change). Si estás en beta, planificá la migración antes del GA.

Vercel agrega un toggle para restringir recursos de integraciones nativas (Postgres hospedado, Redis, providers AI, etc.) a solo producción. Cuando lo activás, esas credenciales se inyectan como sensitive environment variables: ilegibles desde el dashboard, ilegibles desde el CLI, e inaccesibles para preview/development. Es un parche directo a un patrón de leakage clásico: alguien clona el repo, levanta un preview con creds reales y termina spammeando tu Postgres prod. Si tenés equipos grandes con muchos previews, ponete las pilas y activalo en todas las integraciones sensibles.