Bun 1.3.13: bun test gana --parallel, --isolate, --shard, --changed
82 issues fixeadas. Lo más jugoso es el test runner: --parallel corre los archivos de test en paralelo dentro del mismo proceso, --isolate aísla cada archivo en su propio worker, --shard particiona la suite para CI distribuido, y --changed sólo corre tests afectados por archivos modificados (al estilo Vitest). En bun install, los tarballs ahora se transmiten a disco usando 17× menos memoria. Sourcemaps con 8× menos memoria, gzip 5,5× más rápido con zlib-ng. Bun.serve() ahora soporta Range requests. node:crypto y WebCrypto sumaron SHA-3, y ws+unix:// permite WebSocket sobre Unix sockets. Si usás Bun para CI, esto es DX puro.
AWS Lambda Managed Instances: scheduled scaling con EventBridge Scheduler
Lambda Managed Instances ahora acepta schedules one-time o recurrentes que ajustan los límites de capacidad de la función antes de que llegue el tráfico. Caso típico: subís el techo a las 8:00 antes del horario laboral para que los entornos de ejecución estén calientes cuando entra la primera request, y bajás a cero a la noche para no pagar idle. Se configura desde EventBridge Scheduler (consola, CLI, SDK, CDK o CloudFormation) y está disponible en todas las regiones donde corre Lambda Managed Instances. Si venías peleando cold starts en horarios predecibles, esto es la solución sin ranchear «keep-warm pings».
Strapi users-permissions (CVE-2025-64526): stored XSS + RCE en Electron
El plugin @strapi/plugin-users-permissions publicó un advisory de severidad Crítica: stored XSS en el panel admin que, en builds basados en Electron, escala a ejecución de código por la suspensión del sandbox del WebContents. Si exponés el admin de Strapi a usuarios sin confiar (o lo embebés en una app Electron), patcheá ya. El advisory recomienda upgrade inmediato; si no podés, restringí el acceso al admin a IPs internas.
NGINX Rift advisory completo + PoC
Detalle técnico, configuraciones afectadas y enlace al PoC publicado en GitHub.
Cobertura de The Register sobre el rewrite Rust de Bun
Análisis del merge en 10 días asistido por IA y qué implica para el ecosistema runtime.
Anuncio oficial de PostgreSQL sobre la ola de patches
Lista completa de fixes y guía de upgrade para 18.x, 17.x, 16.x, 15.x y 14.x.
Bun 1.3.13 release notes oficiales
Detalles del nuevo test runner, optimizaciones de install y compat con Node.
Tendencias Destacadas
Dos «bugs antiguos» expuestos en una semana (NGINX 18 años, vm2 hace dos semanas) recuerdan que la profundidad de auditoría sigue siendo el cuello de botella, no la velocidad de los parches.
Bun mergeando un rewrite completo de Zig a Rust en 10 días con asistencia de IA marca un nuevo techo de velocidad para refactors a escala — y también un nuevo nivel de riesgo.
Lambda con scheduled scaling cierra un gap clásico vs ECS/Fargate y empuja a Lambda Managed Instances al territorio de cargas con tráfico predecible.
Bun 1.3.13: bun test gains --parallel, --isolate, --shard, --changed
82 issues fixed. Headline is the test runner: --parallel runs test files in parallel within the same process, --isolate isolates each file in its own worker, --shard partitions the suite for distributed CI, and --changed only runs tests affected by modified files (Vitest-style). In bun install, tarballs now stream to disk using 17× less memory. Sourcemaps at 8× less memory, gzip 5.5× faster via zlib-ng. Bun.serve() now supports Range requests. node:crypto and WebCrypto added SHA-3, and ws+unix:// enables WebSocket over Unix sockets. If you use Bun for CI, this is pure DX.
AWS Lambda Managed Instances: scheduled scaling via EventBridge Scheduler
Lambda Managed Instances now accepts one-time or recurring schedules that adjust the function's capacity limits before traffic arrives. Typical case: raise the ceiling at 8:00 before business hours so execution environments are warm when the first request hits, and drop to zero at night to avoid idle costs. Configured via EventBridge Scheduler (console, CLI, SDK, CDK, or CloudFormation) and available in every region where Lambda Managed Instances runs. If you were fighting cold starts on predictable schedules, this is the solution — no more hacky «keep-warm pings».
Strapi users-permissions (CVE-2025-64526): stored XSS + Electron RCE
The @strapi/plugin-users-permissions plugin published a Critical severity advisory: stored XSS in the admin panel that, on Electron-based builds, escalates to code execution due to the WebContents sandbox suspension. If you expose the Strapi admin to untrusted users (or embed it in an Electron app), patch now. The advisory recommends immediate upgrade; if you can't, restrict admin access to internal IPs.
NGINX Rift advisory + PoC
Technical breakdown, affected configurations, and link to the PoC published on GitHub.
The Register coverage of Bun's Rust rewrite
Analysis of the AI-assisted 10-day merge and what it means for the runtime ecosystem.
Official PostgreSQL announcement of the patch wave
Full fix list and upgrade guide for 18.x, 17.x, 16.x, 15.x, and 14.x.
Official Bun 1.3.13 release notes
Details on the new test runner, install optimizations, and Node compatibility.
Notable Trends
Two «ancient bugs» surfaced in a week (NGINX 18 years, vm2 two weeks ago) prove audit depth is still the bottleneck, not patch speed.
Bun merging a full Zig-to-Rust rewrite in 10 days with AI assistance sets a new ceiling for refactor speed at scale — and a new risk level too.
Lambda with scheduled scaling closes a classic gap vs ECS/Fargate and pushes Lambda Managed Instances into predictable-traffic workload territory.
Bun 1.3.13 : bun test gagne --parallel, --isolate, --shard, --changed
82 issues corrigées. Le gros morceau, c'est le test runner : --parallel exécute les fichiers de test en parallèle dans le même process, --isolate isole chaque fichier dans son worker, --shard partitionne la suite pour CI distribué, et --changed ne lance que les tests impactés par les fichiers modifiés (style Vitest). Dans bun install, les tarballs sont désormais streamés sur disque avec 17× moins de mémoire. Sourcemaps à 8× moins de mémoire, gzip 5,5× plus rapide via zlib-ng. Bun.serve() supporte les Range requests. node:crypto et WebCrypto ajoutent SHA-3, et ws+unix:// permet WebSocket sur Unix sockets. Si vous utilisez Bun en CI, c'est de la pure DX.
AWS Lambda Managed Instances : scheduled scaling via EventBridge Scheduler
Lambda Managed Instances accepte désormais des schedules ponctuels ou récurrents qui ajustent les limites de capacité de la fonction avant l'arrivée du trafic. Cas typique : monter le plafond à 8h00 avant les heures de bureau pour que les environnements d'exécution soient chauds à la première requête, et redescendre à zéro la nuit pour ne pas payer l'idle. Configurable via EventBridge Scheduler (console, CLI, SDK, CDK ou CloudFormation) et disponible dans toutes les régions où Lambda Managed Instances tourne. Si vous galériez avec des cold starts sur des horaires prévisibles, c'est la solution — fini les «keep-warm pings» bricolés.
Strapi users-permissions (CVE-2025-64526) : XSS stocké + RCE Electron
Le plugin @strapi/plugin-users-permissions a publié un advisory de sévérité Critique : XSS stocké dans le panel admin qui, sur les builds Electron, escalade en exécution de code via la suspension du sandbox WebContents. Si vous exposez l'admin Strapi à des utilisateurs non fiables (ou l'embarquez dans une app Electron), patchez maintenant. L'advisory recommande un upgrade immédiat ; sinon, restreignez l'accès admin aux IPs internes.
Avis complet NGINX Rift + PoC
Détail technique, configurations affectées et lien vers le PoC publié sur GitHub.
Couverture The Register de la réécriture Rust de Bun
Analyse du merge en 10 jours assisté par IA et ce qu'il implique pour l'écosystème runtime.
Annonce officielle PostgreSQL de la vague de patches
Liste complète des fixes et guide d'upgrade pour 18.x, 17.x, 16.x, 15.x et 14.x.
Notes de version officielles Bun 1.3.13
Détails du nouveau test runner, optimisations d'install et compatibilité Node.
Tendances Notables
Deux «bugs anciens» révélés en une semaine (NGINX 18 ans, vm2 il y a deux semaines) rappellent que la profondeur d’audit reste le goulot d’étranglement, pas la vitesse des patches.
Bun fusionnant une réécriture Zig→Rust complète en 10 jours avec assistance IA fixe un nouveau plafond pour la vitesse de refactor à grande échelle — et un nouveau niveau de risque.
Lambda avec scheduled scaling comble un gap classique vs ECS/Fargate et pousse Lambda Managed Instances sur le terrain des charges à trafic prévisible.