Traefik: request-target rootless enruta como / pero se reenvía tal cual, salteando middlewares y logs
CVSS 8.8. Un request-target HTTP/1 sin / inicial se enruta como si fuera / — así elige el router y los middlewares — pero se reenvía al backend literal. Resultado: routing por path, guards de middleware y access logging todos salteados. Suman otros tres avisos: HTTP request smuggling, bypass de sanitización de headers vía trailers, y spoofing de identidad en ForwardAuth con alias de header en dot-form (v2). Parchado en 3.7.13 / 2.11.57.
OmniRoute: RCE crítico CVSS 9.5 vía agentes custom ACP, todavía sin parche
El paquete npm omniroute permite ejecución remota de código a través de la configuración de agentes custom del protocolo ACP. Crítico, 9.5, y el aviso no lista versión parchada. Si lo tenés en un pipeline de agentes, sacalo hasta que salga el fix.
Open WebUI: 15 avisos, incluido login como otro usuario vía wildcards en el claim OAuth sobre SQLite
Otra auditoría completa publicada de golpe. Lo peor: sign-in como otro usuario si el claim sub de OAuth lleva wildcards y el backend es SQLite; usuarios rechazados por la política de roles OAuth que igual entran vía token exchange; admins degradados por SSO role sync que conservan lectura y escritura sobre las notas de todos; y cookies de sesión enviadas a tool servers configurados con bearer auth. Sumá un DoS sin autenticar por fetches OIDC no cacheados en el back-channel logout.
@argos-ci/core: inyección de comandos del SO a través del nombre de branch en CI
Clásico que nunca muere: el nombre de la branch llega sin sanitizar a un shell. En un CI que corre sobre PRs de forks, eso es ejecución arbitraria en tu runner. Revisá si @argos-ci/core está en tu pipeline de visual testing.
Vite 8.3.0 estable: preload sin esperas de más y matchers de proxy pre-compilados
Sale de beta. En build, ya no se espera a resolver dependencias de preload ya vistas. En dev, los matchers de contexto del proxy se pre-compilan al crear el server. Y se arregla un bug viejo (#17467): solo se tratan como dependencias los segmentos completos de node_modules en el path — si tenías una carpeta que empezaba con ese prefijo, antes te la comía.
better-auth 1.7.4 y 1.6.31: doble línea de patches
Releases simultáneos en la línea actual y la anterior. Buena señal: significa que mantienen backports para quienes todavía no migraron a 1.7.
TanStack Router/Start: release train con Vue Start y Solid Start al día
Otra tanda del release train diario: @tanstack/vue-start 1.168.49, solid-start 1.168.50, start-plugin-core 1.171.42 y compañía. El framework-agnosticismo de Start ya no es promesa, es cadencia.
Amazon MQ ya soporta RabbitMQ 4.3
Si venías atado a una versión vieja de RabbitMQ porque Amazon MQ no la ofrecía, el bloqueo se levantó. Planificá la ventana de upgrade: el salto de línea mayor en RabbitMQ suele traer cambios en quorum queues y políticas.
API Gateway: logs de ejecución de hasta 1 MB y destinos de entrega configurables
Adiós a los payloads truncados cuando debuggeás un request grande. Y ahora podés mandar los logs a destinos configurables en vez de comerte CloudWatch Logs sí o sí — cambia bastante el costo de una estrategia de observabilidad seria.
Amazon ECS amplía las condition keys de IAM para RunTask y StartTask
Más granularidad para restringir qué tarea puede lanzar cada principal, no solo si puede lanzar tareas. Es exactamente la palanca que te faltaba para acotar el blast radius de un rol de CI que hace deploys a ECS.
workerd v1.20260911.1: el runtime de Cloudflare sigue con cadencia diaria
Nuevo corte del runtime open source de Workers. Si pineás compatibility_date, este es el tag que va a estar en el edge cuando la subas.
TinyGo avanza en embebidos: panics recuperables, UEFI, radio y un dev kit de hardware
Los panics recuperables son lo interesante acá aunque no escribas firmware: es la discusión de siempre sobre manejo de errores en un entorno donde no podés simplemente reiniciar el proceso. Sumale soporte UEFI y el dev kit propio, y Go empieza a ser opción real fuera del servidor.
CPython suma RISC-V como plataforma Tier 3 oficial
Tier 3 significa que hay CI y un buildbot dedicado, no garantías de release. Igual importa: si tu stack de backend tiene servicios Python y estás mirando hardware RISC-V para reducir costo por core, el soporte upstream dejó de ser un experimento de terceros.
pnpm 12.4.1: installs que fallaban en filesystems sin hard links, Android y nodeLinker hoisted
Tanda de fixes que le pega a casos reales de CI: Operation not permitted cuando el filesystem rechaza un hard link o un clone CoW — checkouts EdenFS y contenedores rootless caían acá, y ahora pnpm copia. También Invalid cross-device link preservando node_modules anidados en builds Docker, y un fix de seguridad silencioso: pnpm ya no escribe un archivo de paquete a través de un symlink dejado en el path destino, que sobrescribía lo que el link apuntara.
Nx 22.7.12: patch en la línea LTS
Mientras la línea 23 avanza, la 22.7 sigue recibiendo patches. Si tu monorepo todavía no saltó a 23, no tenés apuro forzado.
Tendencias Destacadas
Tres auditorías completas publicadas el mismo día — n8n (16), Open WebUI (15) y rclone (9) — confirman el patrón: los proyectos maduros ya no publican CVEs sueltos, publican el resultado entero de un engagement. Para vos eso cambia el triage: no leas aviso por aviso, mirá qué versión los cubre a todos y actualizá una sola vez.
El eje común de los avisos de hoy es el mismo bug conceptual repetido en cuatro proyectos: una identidad o un contexto de seguridad que se asume atado a la conexión, y un camino alternativo (HTTP/3 en Traefik, el auth-proxy en rclone, el token exchange en Open WebUI) que no lo reconstruye. Si tu sistema tiene estado por conexión, auditá cada transporte por separado.
Angular SSR y Next.js vienen acumulando CVEs de serialización HTML en el servidor. No es casualidad: renderizar en el server significa que el escaping ya no lo hace el browser, y cada elemento raw-content (noscript, template, iframe) es una frontera de parsing que hay que replicar a mano. El SSR barato en DX es caro en superficie de ataque.
Traefik: rootless HTTP/1 request-target routes as / but is forwarded verbatim, bypassing middleware guards
CVSS 8.8. An HTTP/1 request-target without a leading / routes as if it were / — that's how the router and middlewares pick it — but is forwarded to the backend verbatim. Path-scoped routing, middleware guards and access logging are all bypassed. Three more advisories land alongside: HTTP request smuggling, header-name sanitization bypass via trailers, and ForwardAuth identity spoofing via dot-form header alias (v2). Patched in 3.7.13 / 2.11.57.
OmniRoute: critical CVSS 9.5 RCE via ACP custom agents, still unpatched
The omniroute npm package allows remote code execution through ACP custom-agent configuration. Critical, 9.5, and the advisory lists no patched version. If it's in an agent pipeline, pull it until a fix ships.
Open WebUI: 15 advisories, including sign-in as another user via wildcards in the OAuth subject claim on SQLite
Another full audit dropped at once. The worst: sign-in as another user when the OAuth sub claim carries wildcards and the backend is SQLite; users denied by the OAuth role policy still signing in via token exchange; admins demoted through SSO role sync keeping read and write access to everyone's notes; and session cookies sent to tool servers configured for bearer auth. Plus an unauthenticated DoS from uncached OIDC fetches in back-channel logout.
@argos-ci/core: OS command injection via CI branch name
The classic that never dies: the branch name reaches a shell unsanitized. On CI that runs fork PRs, that's arbitrary execution on your runner. Check whether @argos-ci/core sits in your visual-testing pipeline.
Vite 8.3.0 stable: no extra waiting on preload deps, pre-compiled proxy matchers
Out of beta. In build, already-seen preload dependencies are no longer settled again. In dev, proxy context matchers are pre-compiled at server creation. And an old bug is fixed (#17467): only whole node_modules path segments count as dependencies — a folder merely starting with that prefix used to get swallowed.
better-auth 1.7.4 and 1.6.31: dual patch line
Simultaneous releases on the current and previous lines. A good sign: backports are being maintained for those who haven't moved to 1.7 yet.
TanStack Router/Start: release train keeping Vue Start and Solid Start current
Another batch from the daily release train: @tanstack/vue-start 1.168.49, solid-start 1.168.50, start-plugin-core 1.171.42 and friends. Start's framework-agnosticism isn't a promise any more, it's a cadence.
Amazon MQ now supports RabbitMQ 4.3
If you were stuck on an old RabbitMQ version because Amazon MQ didn't offer newer, the block is lifted. Plan the upgrade window: major-line jumps in RabbitMQ usually bring quorum-queue and policy changes.
API Gateway: 1 MB execution logs with configurable delivery destinations
No more truncated payloads when debugging a large request. And you can now route logs to configurable destinations instead of being forced into CloudWatch Logs — that materially changes the cost of a serious observability strategy.
Amazon ECS expands IAM condition key support for RunTask and StartTask
Finer control over which task a principal may launch, not just whether it may launch tasks. It's exactly the lever you needed to shrink the blast radius of a CI role that deploys to ECS.
workerd v1.20260911.1: Cloudflare's runtime keeps its daily cadence
A new cut of the open-source Workers runtime. If you pin compatibility_date, this is the tag that will be at the edge when you bump it.
TinyGo advances embedded Go: recoverable panics, UEFI, radio and a hardware dev kit
Recoverable panics are the interesting bit here even if you never write firmware: it's the recurring error-handling debate in an environment where you can't just restart the process. Add UEFI support and a first-party dev kit, and Go starts being a real option outside the server.
CPython officially adds RISC-V as a Tier 3 platform
Tier 3 means CI and a dedicated buildbot, not release guarantees. It still matters: if your backend stack has Python services and you're eyeing RISC-V hardware to cut cost per core, upstream support is no longer a third-party experiment.
pnpm 12.4.1: installs that failed on filesystems refusing hard links, on Android, and under hoisted nodeLinker
A fix batch hitting real CI cases: Operation not permitted when the filesystem refuses a hard link or a CoW clone — EdenFS checkouts and rootless containers landed here, and pnpm now copies instead. Also Invalid cross-device link while preserving nested node_modules in Docker builds, and a quiet security fix: pnpm no longer writes a package file through a symlink left at the destination path, which used to overwrite whatever the link pointed at.
Nx 22.7.12: patch on the LTS line
While the 23 line moves forward, 22.7 keeps getting patches. If your monorepo hasn't jumped to 23 yet, there's no forced rush.
Notable Trends
Three complete audits published on the same day — n8n (16), Open WebUI (15) and rclone (9) — confirm the pattern: mature projects no longer ship isolated CVEs, they ship a whole engagement's results. That changes your triage: don't read advisory by advisory, find the version that covers them all and upgrade once.
Today's advisories share one conceptual bug repeated across four projects: an identity or security context assumed to be bound to the connection, and an alternate path (HTTP/3 in Traefik, the auth-proxy in rclone, token exchange in Open WebUI) that never rebuilds it. If your system holds per-connection state, audit every transport separately.
Angular SSR and Next.js keep accumulating server-side HTML serialization CVEs. That's no accident: rendering on the server means the browser no longer does the escaping, and every raw-content element (noscript, template, iframe) is a parsing boundary you must replicate by hand. SSR that's cheap in DX is expensive in attack surface.
Traefik : request-target sans racine routé comme / mais transmis tel quel, contournant les middlewares
CVSS 8.8. Un request-target HTTP/1 sans / initial est routé comme / — c'est ainsi que le routeur et les middlewares le sélectionnent — mais transmis au backend littéralement. Routage par chemin, gardes de middleware et journalisation d'accès sont tous contournés. Trois autres avis suivent : smuggling de requêtes HTTP, contournement de la sanitisation d'en-têtes via trailers, et usurpation d'identité ForwardAuth (v2). Corrigé en 3.7.13 / 2.11.57.
OmniRoute : RCE critique CVSS 9.5 via agents custom ACP, toujours sans correctif
Le paquet npm omniroute permet l'exécution de code à distance via la configuration d'agents custom ACP. Critique, 9.5, et l'avis ne mentionne aucune version corrigée. S'il est dans un pipeline d'agents, retirez-le en attendant.
Open WebUI : 15 avis, dont connexion en tant qu'autre utilisateur via wildcards dans le claim OAuth sur SQLite
Un autre audit complet publié d'un coup. Le pire : connexion en tant qu'autre utilisateur lorsque le claim OAuth sub contient des wildcards et que le backend est SQLite ; utilisateurs refusés par la politique de rôles OAuth qui se connectent quand même via token exchange ; admins rétrogradés par SSO role sync conservant lecture et écriture sur les notes de tous ; et cookies de session envoyés aux tool servers en bearer auth.
@argos-ci/core : injection de commandes OS via le nom de branche CI
Le classique qui ne meurt jamais : le nom de branche atteint un shell sans être assaini. Sur une CI exécutant des PR de forks, c'est de l'exécution arbitraire sur votre runner. Vérifiez si @argos-ci/core est dans votre pipeline de tests visuels.
Vite 8.3.0 stable : plus d'attente superflue sur les deps de preload, matchers proxy pré-compilés
Sortie de beta. Au build, les dépendances de preload déjà vues ne sont plus réattendues. En dev, les matchers de contexte du proxy sont pré-compilés à la création du serveur. Et un vieux bug est corrigé (#17467) : seuls les segments complets node_modules comptent comme dépendances.
better-auth 1.7.4 et 1.6.31 : double ligne de patches
Releases simultanées sur la ligne actuelle et la précédente. Bon signe : les backports sont maintenus pour ceux qui n'ont pas encore migré vers 1.7.
TanStack Router/Start : train de releases gardant Vue Start et Solid Start à jour
Un autre lot du train de releases quotidien : @tanstack/vue-start 1.168.49, solid-start 1.168.50, start-plugin-core 1.171.42 et consorts. L'agnosticisme de framework de Start n'est plus une promesse, c'est une cadence.
Amazon MQ prend désormais en charge RabbitMQ 4.3
Si vous étiez bloqué sur une vieille version de RabbitMQ faute d'offre Amazon MQ, le verrou saute. Planifiez la fenêtre de mise à niveau : les sauts de ligne majeure apportent souvent des changements sur les quorum queues et les policies.
API Gateway : logs d'exécution jusqu'à 1 Mo et destinations de livraison configurables
Fini les payloads tronqués au débogage d'une grosse requête. Et vous pouvez router les logs vers des destinations configurables au lieu d'être contraint à CloudWatch Logs — cela change sensiblement le coût d'une stratégie d'observabilité sérieuse.
Amazon ECS étend les clés de condition IAM pour RunTask et StartTask
Plus de granularité pour restreindre quelle tâche chaque principal peut lancer, pas seulement s'il peut en lancer. C'est précisément le levier qui manquait pour réduire le rayon d'impact d'un rôle CI déployant sur ECS.
workerd v1.20260911.1 : le runtime de Cloudflare garde sa cadence quotidienne
Une nouvelle coupe du runtime open source Workers. Si vous épinglez compatibility_date, c'est ce tag qui sera à l'edge quand vous l'augmenterez.
TinyGo fait avancer le Go embarqué : panics récupérables, UEFI, radio et un dev kit matériel
Les panics récupérables sont l'élément intéressant même si vous n'écrivez pas de firmware : c'est le débat récurrent sur la gestion d'erreurs dans un environnement où l'on ne peut pas simplement redémarrer le processus. Ajoutez le support UEFI et un dev kit maison, et Go devient une vraie option hors serveur.
CPython ajoute officiellement RISC-V comme plateforme Tier 3
Tier 3 signifie CI et buildbot dédié, pas de garanties de release. Cela compte tout de même : si votre stack backend comporte des services Python et que vous lorgnez le matériel RISC-V pour réduire le coût par cœur, le support upstream n'est plus une expérimentation tierce.
pnpm 12.4.1 : installs échouant sur filesystems sans hard links, sur Android et sous nodeLinker hoisted
Lot de correctifs touchant de vrais cas CI : Operation not permitted quand le filesystem refuse un hard link ou un clone CoW — checkouts EdenFS et conteneurs rootless tombaient ici, pnpm copie désormais. Aussi Invalid cross-device link en préservant les node_modules imbriqués dans les builds Docker, et un correctif de sécurité discret : pnpm n'écrit plus un fichier de paquet à travers un symlink laissé au chemin de destination.
Nx 22.7.12 : patch sur la ligne LTS
Pendant que la ligne 23 avance, la 22.7 continue de recevoir des patches. Si votre monorepo n'est pas encore passé à 23, rien ne presse.
Tendances Notables
Trois audits complets publiés le même jour — n8n (16), Open WebUI (15) et rclone (9) — confirment le schéma : les projets matures ne publient plus des CVE isolées mais le résultat entier d'un engagement. Cela change le triage : ne lisez pas avis par avis, trouvez la version qui les couvre tous et mettez à jour une fois.
Les avis du jour partagent un même bug conceptuel répété dans quatre projets : une identité ou un contexte de sécurité supposé lié à la connexion, et un chemin alternatif (HTTP/3 dans Traefik, l'auth-proxy dans rclone, le token exchange dans Open WebUI) qui ne le reconstruit jamais. Si votre système porte un état par connexion, auditez chaque transport séparément.
Angular SSR et Next.js accumulent les CVE de sérialisation HTML côté serveur. Ce n'est pas un hasard : rendre côté serveur signifie que le navigateur ne fait plus l'échappement, et chaque élément raw-content (noscript, template, iframe) est une frontière de parsing à répliquer à la main. Un SSR bon marché en DX est coûteux en surface d'attaque.