workerd v1.20260901.1: el runtime de Workers mantiene el build diario
Nueva build diaria del runtime open source detrás de Cloudflare Workers. Si fijás compatibility_date en wrangler.jsonc — y deberías — este es el tag que marca qué comportamiento vas a tener en producción. Nada rompe, pero conviene ver el diff antes de mover la fecha.
decode-uri-component: denial of service por decodificación exponencial
Input percent-encoded malformado dispara decodificación exponencial en un paquete que casi nadie instala a propósito pero que arrastra medio ecosistema como dependencia transitiva (query-string, y de ahí para arriba). Severidad media, pero revisá tu pnpm why decode-uri-component: probablemente lo tengas en el path de parseo de querystrings de tu API.
Next.js 16.3.4 y 15.5.25: vuelve AVIF y se arregla la recursión infinita en testmode
Release de seguimiento a la 16.3.3 que reactiva la optimización de imágenes AVIF. Backports: recursión infinita en el passthrough fetch de testmode, error de build al aliasear typescript a @typescript/typescript6, y crossOrigin sin setear en los manifests de Turbopack. La línea 15 recibe el mismo tratamiento en 15.5.25. Parche puro, sin features.
Vitest 5.0.0-rc.4: vitest list ahora parsea archivos estáticamente
Breaking change en la RC: vitest list pasa a parseo estático por defecto, así que ya no ejecuta tu archivo para enumerar tests — más rápido, pero si generás tests dinámicamente en runtime van a desaparecer del listado. Además clearCache sale de experimental, --maxWorkers se propaga a los proyectos del monorepo, y el formateo de fallos de spy matchers pasa a ser lazy.
DocumentDB: upgrade directo de 3.6 y 4.0 a 8.0, sin escalas
AWS elimina los saltos intermedios: si tenés un cluster viejo en 3.6 o 4.0 podés ir directo a 8.0 preservando datos, configuración y settings del cluster. Menos ventanas de mantenimiento encadenadas y menos riesgo acumulado por migración escalonada. Si venías postergando el upgrade porque el camino era de tres etapas, ya no tenés excusa.
Redshift soporta Apache Iceberg v3: deletion vectors y row lineage
Llegan las tres piezas que faltaban para CDC serio sobre lakehouse: valores por defecto en columnas, row lineage y deletion vectors. Los deletion vectors son lo importante: los deletes dejan de reescribir archivos de datos completos, así que los flujos de update sobre tablas grandes bajan de costo y latencia de forma notable.
AWS Agent Registry en GA: gobernanza privada de agentes y tools
Registro privado para agentes y tools, con provisioning por CloudFormation y Terraform y compartición cross-account vía AWS RAM. Lo interesante no es el hype de agentes: es que por fin tratás los agentes como artefactos versionados con IaC y control de acceso, en vez de scripts sueltos en la cuenta de alguien. Eso es lo que hace que esto sobreviva a una auditoría.
Aurora Serverless: +30% de performance llega a cinco regiones más
Las mejoras de performance y escalado de Aurora Serverless para PostgreSQL y MySQL se expanden a cinco regiones adicionales. Hasta 30% mejor performance sin cambiar nada de tu lado — pero verificá que tu región esté en la lista antes de rehacer tus benchmarks de capacity planning.
Dokploy ≤ 0.29.7: path traversal remoto en la config de Traefik (CVSS 9.9)
La función writeTraefikConfigInPath en packages/server/src/utils/traefik/application.ts deja manipular el argumento path: path traversal explotable remotamente en el PaaS self-hosted que mucha gente usa como alternativa a Vercel. El exploit ya es público y, según el reporte, el vendor no respondió al contacto previo. No hay versión parcheada anunciada: si tenés un panel de Dokploy accesible, cerralo detrás de red privada ahora.
Devtron ≤ 2.2.0: sin chequeo de autorización en GET /orchestrator/api-token
La plataforma de CD sobre Kubernetes no aplica chequeos de autorización en el endpoint de API tokens (CVSS 8.8). Un usuario con acceso mínimo lista tokens que le permiten escalar dentro del orchestrator — y desde ahí, sobre tus deployments. Regla de siempre: todo endpoint que devuelve credenciales necesita autorización explícita, no solo autenticación.
DoorDash corre 130.000 tareas de ingeniería al mes en microVMs aisladas
DoorDash movió sus cargas de agentes a Flux: 130.000 tareas mensuales y más de 25.000 code reviews por semana, cada una en una microVM aislada con auditoría centralizada. Lo que hay que copiar no es el número, es el diseño: aislamiento fuerte por tarea y un único punto de auditoría. Si vas a dejar que algo escriba código en tu repo, esa es la línea base de arquitectura — no un contenedor compartido con tu CI y las credenciales colgando.
OpenTelemetry JS 2.11.0: attach() delega en AsyncLocalStorage.withScope()
AsyncLocalStorageContextManager implementa attach(): en Node.js 25.9+ delega en AsyncLocalStorage.withScope() nativo devolviendo un RunScope, y en versiones viejas cae a enterWith() con un wrapper disposable manual. Se acabó el context leaking artesanal en propagación de traces. Suman timeout de force flush configurable por llamada y se ignora Infinity en histogramas exponenciales.
Nx 23.2.0-rc.1: la 23.2 entra en release candidate
Nx pasó de 23.2.0-beta.12 a rc.0 y rc.1 en menos de doce horas. Si mantenés un monorepo grande, este es el momento de probar la RC en una rama: el ciclo beta ya se cerró y los cambios de acá al GA van a ser mínimos, así que los problemas de migración que encuentres ahora todavía llegan a tiempo.
Tendencias Destacadas
Tres advisories de hoy — Hono OAuth, Pangolin y Devtron — son el mismo bug conceptual: un chequeo de autorización que falla abierto porque el valor esperado estaba ausente en vez de ser inválido. Ausente nunca debe ser igual a válido.
Valkey y Engine.IO comparten patrón de explotación: estado de proceso global que sobrevive al objeto que lo respaldaba. Un puntero cacheado a un intérprete Lua liberado y un lookup de session ID que resuelve al prototipo terminan en el mismo lugar — proceso caído sin autenticación.
La infraestructura self-hosted de deploy — Dokploy, Pangolin, Devtron — concentra los CVSS más altos de la jornada. Elegir alternativas open source a Vercel o Heroku te ahorra factura, pero te transfiere el trabajo de parcheo y de exposición de red. Ese trabajo no es opcional.
workerd v1.20260901.1: the Workers runtime keeps its daily build
Another daily build of the open source runtime behind Cloudflare Workers. If you pin compatibility_date in wrangler.jsonc — and you should — this tag is what defines the behavior you get in production. Nothing breaks, but read the diff before moving the date.
decode-uri-component: denial of service via exponential decoding
Malformed percent-encoded input triggers exponential decoding in a package almost nobody installs on purpose but that half the ecosystem pulls in transitively (query-string, and upward from there). Medium severity, but run pnpm why decode-uri-component: odds are it sits in your API's querystring parsing path.
Next.js 16.3.4 and 15.5.25: AVIF returns and testmode's infinite recursion is fixed
Follow-up to 16.3.3 that re-enables AVIF image optimization. Backports: infinite recursion in the testmode passthrough fetch, a build error when aliasing typescript to @typescript/typescript6, and unset crossOrigin in Turbopack manifests. The 15 line gets the same treatment in 15.5.25. Pure patch, no features.
Vitest 5.0.0-rc.4: vitest list now parses files statically
Breaking change in the RC: vitest list moves to static parsing by default, so it no longer executes your file to enumerate tests — faster, but tests you generate dynamically at runtime vanish from the listing. Also: clearCache leaves experimental, --maxWorkers propagates to monorepo projects, and spy matcher failure formatting goes lazy.
DocumentDB: direct major version upgrade from 3.6 and 4.0 to 8.0
AWS removes the intermediate hops: an old 3.6 or 4.0 cluster can go straight to 8.0 while preserving data, configuration and cluster settings. Fewer chained maintenance windows and less risk accumulated across a staged migration. If you were postponing the upgrade because the path had three legs, that excuse is gone.
Redshift supports Apache Iceberg v3: deletion vectors and row lineage
The three missing pieces for serious CDC over a lakehouse land: column default values, row lineage and deletion vectors. Deletion vectors are the real story — deletes stop rewriting whole data files, so update workflows over large tables drop meaningfully in cost and latency.
AWS Agent Registry hits GA: private governance for agents and tools
A private registry for agents and tools, provisioned through CloudFormation and Terraform and shared cross-account via AWS RAM. The interesting part is not the agent hype: it is that agents finally become versioned artifacts under IaC and access control, rather than loose scripts in somebody's account. That is what survives an audit.
Aurora Serverless: up to 30% better performance reaches five more regions
Aurora Serverless performance and scaling improvements for PostgreSQL and MySQL expand to five additional regions. Up to 30% better performance with no change on your side — but confirm your region is on the list before you redo your capacity planning benchmarks.
Dokploy ≤ 0.29.7: remote path traversal in the Traefik config writer (CVSS 9.9)
The writeTraefikConfigInPath function in packages/server/src/utils/traefik/application.ts lets the path argument be manipulated: remotely exploitable path traversal in the self-hosted PaaS many people run as a Vercel alternative. The exploit is public and, per the report, the vendor did not respond to prior contact. No patched version announced — if your Dokploy panel is reachable, put it behind a private network now.
Devtron ≤ 2.2.0: no authorization check on GET /orchestrator/api-token
The Kubernetes CD platform fails to enforce authorization checks on the API token endpoint (CVSS 8.8). A minimally privileged user can list tokens that escalate inside the orchestrator — and from there, over your deployments. The standing rule: every endpoint returning credentials needs explicit authorization, not just authentication.
DoorDash runs 130,000 engineering tasks a month inside isolated microVMs
DoorDash moved its agent workloads onto Flux: 130,000 tasks a month and 25,000+ code reviews a week, each in an isolated microVM with centralized auditing. The number is not the lesson — the design is: hard per-task isolation plus a single audit point. If you are going to let something write code in your repo, that is the architectural baseline, not a shared container next to your CI with credentials hanging off it.
OpenTelemetry JS 2.11.0: attach() delegates to AsyncLocalStorage.withScope()
AsyncLocalStorageContextManager implements attach(): on Node.js 25.9+ it delegates to native AsyncLocalStorage.withScope() returning a RunScope, falling back to enterWith() with a manual disposable wrapper on older versions. Hand-rolled context leaking in trace propagation is over. Also: per-call force flush timeout, and Infinity is now ignored in exponential histograms.
Nx 23.2.0-rc.1: the 23.2 line enters release candidate
Nx went from 23.2.0-beta.12 to rc.0 and rc.1 in under twelve hours. If you maintain a large monorepo, now is the moment to try the RC on a branch: the beta cycle is closed and changes between here and GA will be minimal, so migration problems you find now still land in time.
Notable Trends
Three of today's advisories — Hono OAuth, Pangolin and Devtron — are the same conceptual bug: an authorization check that fails open because the expected value was absent rather than invalid. Absent must never equal valid.
Valkey and Engine.IO share an exploitation pattern: process-global state that outlives the object backing it. A cached pointer to a freed Lua interpreter and a session ID lookup resolving to the prototype end up in the same place — an unauthenticated process crash.
Self-hosted deployment infrastructure — Dokploy, Pangolin, Devtron — carries today's highest CVSS scores. Picking open source alternatives to Vercel or Heroku saves you the bill but transfers the patching and network-exposure work to you. That work is not optional.
workerd v1.20260901.1 : le runtime Workers garde sa build quotidienne
Nouvelle build quotidienne du runtime open source derrière Cloudflare Workers. Si vous figez compatibility_date dans wrangler.jsonc, ce tag définit le comportement en production. Rien ne casse, mais lisez le diff avant de déplacer la date.
decode-uri-component : déni de service par décodage exponentiel
Une entrée percent-encoded malformée déclenche un décodage exponentiel dans un paquet que presque personne n'installe volontairement mais que la moitié de l'écosystème tire en transitif (query-string). Sévérité moyenne, mais vérifiez pnpm why decode-uri-component.
Next.js 16.3.4 et 15.5.25 : AVIF revient et la récursion infinie de testmode est corrigée
Release de suivi de la 16.3.3 qui réactive l'optimisation d'images AVIF. Backports : récursion infinie dans le passthrough fetch de testmode, erreur de build lors de l'alias typescript vers @typescript/typescript6, et crossOrigin non défini dans les manifests Turbopack. La ligne 15 reçoit le même traitement en 15.5.25.
Vitest 5.0.0-rc.4 : vitest list parse désormais les fichiers statiquement
Breaking change dans la RC : vitest list passe au parsing statique par défaut et n'exécute plus votre fichier pour énumérer les tests — plus rapide, mais les tests générés dynamiquement disparaissent du listing. Aussi : clearCache sort de l'expérimental et --maxWorkers se propage aux projets du monorepo.
DocumentDB : montée de version directe de 3.6 et 4.0 vers 8.0
AWS supprime les étapes intermédiaires : un ancien cluster 3.6 ou 4.0 peut passer directement en 8.0 en préservant données, configuration et paramètres du cluster. Moins de fenêtres de maintenance enchaînées et moins de risque cumulé.
Redshift supporte Apache Iceberg v3 : deletion vectors et row lineage
Les trois pièces manquantes pour un vrai CDC sur lakehouse arrivent : valeurs par défaut de colonnes, row lineage et deletion vectors. Les deletion vectors sont l'essentiel : les suppressions ne réécrivent plus des fichiers de données entiers.
AWS Agent Registry en GA : gouvernance privée des agents et outils
Un registre privé pour agents et outils, provisionné via CloudFormation et Terraform et partagé cross-account avec AWS RAM. L'essentiel n'est pas le hype : les agents deviennent enfin des artefacts versionnés sous IaC et contrôle d'accès.
Aurora Serverless : jusqu'à 30% de performance en plus dans cinq régions de plus
Les améliorations de performance et de scaling d'Aurora Serverless pour PostgreSQL et MySQL s'étendent à cinq régions supplémentaires. Jusqu'à 30% de performance en plus sans changement de votre côté.
Dokploy ≤ 0.29.7 : path traversal distant dans l'écriture de config Traefik (CVSS 9.9)
La fonction writeTraefikConfigInPath dans packages/server/src/utils/traefik/application.ts permet de manipuler l'argument path : path traversal exploitable à distance dans ce PaaS self-hosted. L'exploit est public et le vendeur n'a pas répondu. Aucune version corrigée annoncée.
Devtron ≤ 2.2.0 : aucun contrôle d'autorisation sur GET /orchestrator/api-token
La plateforme CD pour Kubernetes n'applique pas de contrôle d'autorisation sur le endpoint des API tokens (CVSS 8.8). Un utilisateur peu privilégié peut lister des tokens permettant une escalade dans l'orchestrator.
DoorDash exécute 130 000 tâches d'ingénierie par mois dans des microVMs isolées
DoorDash a déplacé ses charges d'agents sur Flux : 130 000 tâches par mois et plus de 25 000 code reviews par semaine, chacune dans une microVM isolée avec audit centralisé. La leçon n'est pas le chiffre mais le design : isolation forte par tâche et point d'audit unique.
OpenTelemetry JS 2.11.0 : attach() délègue à AsyncLocalStorage.withScope()
AsyncLocalStorageContextManager implémente attach() : sur Node.js 25.9+ il délègue au AsyncLocalStorage.withScope() natif en renvoyant un RunScope, avec repli sur enterWith() sur les versions plus anciennes. S'ajoutent un timeout de force flush par appel et l'ignorance de Infinity dans les histogrammes exponentiels.
Nx 23.2.0-rc.1 : la ligne 23.2 passe en release candidate
Nx est passé de 23.2.0-beta.12 à rc.0 puis rc.1 en moins de douze heures. Si vous maintenez un gros monorepo, c'est le moment de tester la RC sur une branche : le cycle beta est clos et les changements d'ici la GA seront minimes.
Tendances Notables
Trois advisories du jour — Hono OAuth, Pangolin et Devtron — sont le même bug conceptuel : un contrôle d'autorisation qui échoue en mode ouvert parce que la valeur attendue était absente plutôt qu'invalide.
Valkey et Engine.IO partagent le même schéma d'exploitation : un état global au processus qui survit à l'objet qui le portait. Un pointeur caché vers un interpréteur Lua libéré et une recherche de session ID résolvant vers le prototype aboutissent au même résultat.
L'infrastructure de déploiement self-hosted — Dokploy, Pangolin, Devtron — concentre les CVSS les plus élevés du jour. Choisir des alternatives open source à Vercel ou Heroku réduit la facture mais vous transfère le travail de patch et d'exposition réseau.