Lo nuevo hoy

Today's highlights

Points forts du jour

Click en cualquiera para ir al detalle

Click any item to jump to the full section

Cliquez un élément pour aller à la section complète

🔥

Top Stories

Seguridad

Next.js 16.2.5 y 15.5.16: release de seguridad con 6 CVEs altos

Locura cósmica: Vercel sacó un release de seguridad doble en las líneas 16.2 y 15.5 que tapa seis advisories High y un Moderate. Lo gordo: GHSA-267c-6grr-h53f (bypass de middleware vía rutas segment-prefetch en App Router), GHSA-492v-c6pp-mqqv (bypass por inyección de parámetros dinámicos), GHSA-c4j6-fc7j-m34r (SSRF via WebSocket upgrades), GHSA-mg66-mrh9-m8jx (DoS por exhausting de conexiones con Cache Components), GHSA-8h8q-6873-q5fj (DoS con Server Components) y GHSA-36qx-fr4f-26g5 (bypass en Pages Router con i18n). Más un XSS Moderate (GHSA-ffhc-5mcf-pf4q) en CSP nonces. Si tenés middleware o estás en App Router con Cache Components: parcheá YA.

06 May 2026
github.com/vercel/next.js →
Patch

Vite 7.3.3: backport de fixes para la línea v7

Mientras Vite 8 con Rolldown ya está estable, el equipo sigue manteniendo la línea v7 con un patch fresco. Ojo, no es nada masivo (changelog técnico), pero si todavía no migraste a v8 por incompatibilidad de plugins, este es el bump que querés tener antes del finde.

07 May 2026
github.com/vitejs/vite →
Release

Next.js 16.3.0-canary.13: draft mode sin instant validations + Turbopack Notify lazy

Canary 13 desactiva las instant validations en draft mode (PR #93472) y, en Turbopack, reemplaza el Mutex del write_lock por una instancia Notify lazy y cachea errores de efectos. Cambios sutiles pero relevantes: si dependías de validar contenido CMS en preview, revisá el flag.

07 May 2026
github.com/vercel/next.js →
🧩

JS Frameworks

Release

Astro 6.2: waitUntil para adapters, compressHTML jsx-style y allowedHosts en preview

Astro 6.2 mete tres mejoras finas: (1) opción waitUntil en RenderOptions para que los adapters reenvíen context.waitUntil a CacheProvider.onRequest() — habilita stale-while-revalidate sin bloquear la respuesta (Cloudflare ya lo forwardea). (2) compressHTML: 'jsx' aplica reglas JSX al strip de whitespace. (3) server.allowedHosts ahora se respeta en astro preview con el adapter de Cloudflare, mitigando DNS rebinding. Astro 6.2.2 (4 May) trae fixes encima.

30 Apr 2026
github.com/withastro/astro →
📱

React Native

Patch

React Native 0.85.3: DevTools refresh y fix de Hermes tar en EdenFS

Patch chico pero útil para quienes laburan en monorepos en EdenFS de Meta: replace-rncore-version.js ahora extrae el tar de Hermes a un directorio temporal primero para evitar la falla silenciosa. Además: bump del debugger-frontend de DevTools y la build usa la versión pinneada de Hermes cuando version.properties no es 1000.0.0. Lo de DynamicFrameworks CI también suma estabilidad.

05 May 2026
github.com/facebook/react-native →
🛠️

Developer Tools

Release

VS Code 1.119: agentes con acceso al browser, OpenTelemetry y sandbox con red

El release pega fuerte en developer experience: los agentes pueden pedir acceso a tabs del browser integrado (con consentimiento explícito por página) para validar cambios en tiempo real, sumate OpenTelemetry tracing de sesiones de agente con observabilidad de tokens y caching, sandbox que permite red sin abrir filesystem, y un agente liviano de background que maneja todo-lists para reducir token cost. Markdown preview también ganó toolbar para alternar fuente y vista.

06 May 2026
code.visualstudio.com →
🔥

Top Stories

Security

Next.js 16.2.5 and 15.5.16: security release patching 6 high CVEs

Heads up: Vercel cut a double security release on the 16.2 and 15.5 lines patching six High advisories and one Moderate. The big ones: GHSA-267c-6grr-h53f (middleware bypass via segment-prefetch routes in App Router), GHSA-492v-c6pp-mqqv (bypass through dynamic route parameter injection), GHSA-c4j6-fc7j-m34r (SSRF via WebSocket upgrades), GHSA-mg66-mrh9-m8jx (DoS via connection exhaustion in apps using Cache Components), GHSA-8h8q-6873-q5fj (DoS with Server Components), and GHSA-36qx-fr4f-26g5 (Pages Router i18n bypass). Plus a Moderate XSS (GHSA-ffhc-5mcf-pf4q) in App Router CSP nonces. If you run middleware or App Router with Cache Components: patch now.

06 May 2026
github.com/vercel/next.js →
Patch

Vite 7.3.3: backport patch for the v7 line

With Vite 8 (Rolldown) already stable, the team is still maintaining the v7 line with a fresh patch. Nothing massive in scope (technical changelog only), but if you haven't migrated to v8 yet because of plugin incompatibility, this is the bump you want before the weekend.

07 May 2026
github.com/vitejs/vite →
Release

Next.js 16.3.0-canary.13: draft mode without instant validations + lazy Turbopack Notify

Canary 13 disables instant validations in draft mode (PR #93472) and, on the Turbopack side, swaps the write_lock Mutex for a lazy Notify instance and caches effect errors. Subtle but real: if you rely on validating CMS content in preview, double-check the flag.

07 May 2026
github.com/vercel/next.js →
🧩

JS Frameworks

Release

Astro 6.2: waitUntil for adapters, JSX-style compressHTML, and allowedHosts in preview

Astro 6.2 lands three sharp wins: (1) a waitUntil option in RenderOptions so adapters can forward context.waitUntil to CacheProvider.onRequest() — enabling stale-while-revalidate background work without blocking the response (Cloudflare already forwards it). (2) compressHTML: 'jsx' applies JSX whitespace rules instead of HTML compression. (3) server.allowedHosts is now honored in astro preview with the Cloudflare adapter, mitigating DNS rebinding. Astro 6.2.2 (4 May) ships follow-up fixes.

30 Apr 2026
github.com/withastro/astro →
📱

React Native

Patch

React Native 0.85.3: DevTools refresh and Hermes tar fix on EdenFS

Small but handy patch for folks on EdenFS monorepos: replace-rncore-version.js now extracts the Hermes tar to a temp directory first to avoid silent extraction failures. Also: a DevTools debugger-frontend bump and the build uses the pinned Hermes version when version.properties isn't 1000.0.0. DynamicFrameworks CI is more stable too.

05 May 2026
github.com/facebook/react-native →
🛠️

Developer Tools

Release

VS Code 1.119: agent-browser access, OpenTelemetry tracing, and network-aware sandbox

Big DX release: agents can now request access to integrated browser tabs (with explicit per-page consent) to validate code changes live, plus OpenTelemetry tracing of agent sessions with token and cache observability, a sandbox mode that allows network without opening the filesystem, and a lightweight background agent that manages todo-lists to cut token cost. Markdown preview also picked up a source/preview toggle in the toolbar.

06 May 2026
code.visualstudio.com →
🔥

Top Stories

Sécurité

Next.js 16.2.5 et 15.5.16: release de sécurité avec 6 CVE hauts

Vercel sort une double release de sécurité sur 16.2 et 15.5 qui corrige six advisories High et un Moderate. À noter: bypass de middleware via segment-prefetch en App Router, SSRF via WebSocket upgrades, DoS avec Cache Components et Server Components, plus un XSS Moderate sur les CSP nonces. Si vous utilisez middleware ou Cache Components: patchez maintenant.

06 May 2026
github.com/vercel/next.js →
Patch

Vite 7.3.3: backport de fixes pour la ligne v7

Vite 8 (Rolldown) est stable, mais l'équipe maintient encore la ligne v7 avec un patch frais. Si vous n'avez pas encore migré vers v8 à cause d'incompatibilités de plugins, c'est le bump à prendre.

07 May 2026
github.com/vitejs/vite →
Release

Next.js 16.3.0-canary.13: draft mode sans instant validations + Notify lazy Turbopack

Canary 13 désactive les instant validations en draft mode et, côté Turbopack, remplace le Mutex du write_lock par une instance Notify lazy et met en cache les erreurs d'effets.

07 May 2026
github.com/vercel/next.js →
🧩

JS Frameworks

Release

Astro 6.2: waitUntil pour adapters, compressHTML JSX-style et allowedHosts en preview

Astro 6.2 ajoute: (1) une option waitUntil dans RenderOptions pour que les adapters transmettent context.waitUntil à CacheProvider.onRequest() — pour du stale-while-revalidate sans bloquer la réponse. (2) compressHTML: 'jsx' applique les règles JSX. (3) server.allowedHosts respecté en astro preview avec Cloudflare.

30 Apr 2026
github.com/withastro/astro →
📱

React Native

Patch

React Native 0.85.3: refresh DevTools et fix Hermes tar sur EdenFS

Petit patch utile pour les monorepos sur EdenFS: replace-rncore-version.js extrait le tar de Hermes dans un dossier temporaire d'abord pour éviter les échecs silencieux. Bump du debugger-frontend et la build utilise la version pinnée de Hermes.

05 May 2026
github.com/facebook/react-native →
🛠️

Developer Tools

Release

VS Code 1.119: accès agent au browser, OpenTelemetry et sandbox avec réseau

Gros release DX: les agents peuvent demander l'accès aux tabs du browser intégré (consentement explicite par page) pour valider les changements en temps réel, OpenTelemetry tracing des sessions, sandbox réseau sans filesystem et agent background pour les todo-lists.

06 May 2026
code.visualstudio.com →