← Actus Dev

Dev News — 9 oct. 2026 : Safari TP 254 livre calc-size() et interpolate-size, deux failles critiques Handlebars et Vite 8.3.4

Lo nuevo hoy

Today's highlights

Points forts du jour

Click en cualquiera para ir al detalle

Click any item to jump to the full section

Cliquez un élément pour aller à la section complète

🔥

Top Stories

Destacado

Safari Technology Preview 254: calc-size(), interpolate-size y los shorthands size y border-*-radius

Ojo con esto, porque es la pieza que faltaba para animar a height: auto en WebKit: llegan calc-size() e interpolate-size. También los shorthands size, min-size y max-size, los shorthands por lado border-top-radius y compañía, symbols() para counter styles anónimos y los linked parameters de CSS (link-parameters y param()). En APIs: transfer y hevc en WebCodecs, wide arithmetic de 128 bits en WebAssembly y browsingContext.captureScreenshot en WebDriver BiDi. Con Chromium ya teniendo calc-size(), el camino a Baseline se acorta.

08 Oct 2026
webkit.org →
Seguridad

Handlebars: dos advisories críticos de inyección de JavaScript, uno bypassea el fix de CVE-2026-33937

Si compilás templates que vienen de afuera, esto te toca: GHSA-8r5x-fm3f-whwj (CVSS 9.8) es una inyección de JavaScript por type confusion en el AST de compile que saltea el parche de CVE-2026-33937, y GHSA-p8wg-vrv2-v86f rompe el chequeo de own properties. Hay un tercero, medium, por embeber templates precompilados inline. Afecta de 4.0.0 a 4.7.9; el fix está en [email protected]. Revisá también dependencias transitivas: Handlebars vive escondido en un montón de generadores y tooling.

08 Oct 2026
github.com/advisories →
📱

React Native

Beta

React Native 0.88 RC.4: module augmentation para los tipos generados de props y estilos

Cuarto release candidate de 0.88. Lo interesante para TypeScript: ahora podés usar module augmentation para extender los tipos generados de props y estilos. En Android se arregla un bug de accesibilidad que dejaba un Pressable medio intocable después de resetear accessibilityState.disabled.

07 Oct 2026
github.com/facebook/react-native →
🧩

JS Frameworks

Destacado

Astro 7.3.8: el bundling interno pasa de esbuild a Oxc y Rolldown

Parece un patch, pero tiene un cambio de fondo: Astro usa transformWithOxc de Vite y Rolldown para sus transforms internos y ya no depende de esbuild directamente. Además arregla Astro.cache undefined en páginas 404/500 y que astro add borrara aprobaciones de allowBuilds en pnpm 11. El 7.3.7 del día anterior corrigió security.checkOrigin rechazando requests JSON cross-origin.

08 Oct 2026
github.com/withastro/astro →
Beta

Angular 22.3.0-next.1: scrollMargin en los triggers viewport de @defer, junto con 22.2.2

La pre-release suma scrollMargin a las opciones de viewport de @defer, para disparar la carga antes de que el bloque entre en pantalla, y selección inteligente de rangos en templates para el language service. El estable 22.2.2 trae varios fixes de signal forms (comparación con Object.is, valores con debounce que se perdían al destruir el control) y que el compilador ahora elimina elementos script sin importar el namespace.

08 Oct 2026
github.com/angular/angular →
🔧

Build Tools & Runtimes

Release

Vite 8.3.4: import.meta.hot.acceptExports en bundled dev y una tanda de fixes de preload y CSS

El modo bundled dev sigue madurando: soporta import.meta.hot.acceptExports, sirve /@vite/client y stubbea @vite/env. En build se corrigen los preloads con chunkImportMap y base no-root, y el helper de preload ahora espera stylesheets en vuelo. También: preprocesadores importados resueltos desde su path con lightningcss, y un restart pedido durante otro restart ya no se pierde.

08 Oct 2026
github.com/vitejs/vite →
🔥

Top Stories

Notable

Safari Technology Preview 254: calc-size(), interpolate-size and the size and border-*-radius shorthands

This is the missing piece for animating to height: auto in WebKit: calc-size() and interpolate-size land. Also new: the size, min-size and max-size shorthands, per-side border-top-radius-style shorthands, symbols() for anonymous counter styles and CSS linked parameters (link-parameters and param()). On the API side: transfer and hevc options in WebCodecs, 128-bit wide arithmetic in WebAssembly and browsingContext.captureScreenshot in WebDriver BiDi. With Chromium already shipping calc-size(), the road to Baseline gets shorter.

08 Oct 2026
webkit.org →
Security

Handlebars: two critical JavaScript-injection advisories, one bypasses the CVE-2026-33937 fix

If you compile templates from untrusted input, this one is yours: GHSA-8r5x-fm3f-whwj (CVSS 9.8) is a JavaScript injection through AST type confusion in compile that bypasses the CVE-2026-33937 patch, and GHSA-p8wg-vrv2-v86f defeats the own-property check. A third, medium-severity advisory covers unsafe inline embedding of precompiled templates. Versions 4.0.0 through 4.7.9 are affected; the fix is [email protected]. Check transitive dependencies too: Handlebars hides inside plenty of generators and tooling.

08 Oct 2026
github.com/advisories →
📱

React Native

Beta

React Native 0.88 RC.4: module augmentation for generated prop and style types

The fourth 0.88 release candidate. The TypeScript-relevant change: you can now use module augmentation to extend the generated prop and style types. On Android it fixes an accessibility bug that left a Pressable partly untappable after accessibilityState.disabled reset from true.

07 Oct 2026
github.com/facebook/react-native →
🧩

JS Frameworks

Notable

Astro 7.3.8: internal bundling moves from esbuild to Oxc and Rolldown

It looks like a patch, but there is a structural change: Astro now uses Vite's transformWithOxc and Rolldown for its internal transforms and no longer depends on esbuild directly. It also fixes Astro.cache being undefined on 404/500 pages and astro add dropping allowBuilds approvals under pnpm 11. The previous day's 7.3.7 fixed security.checkOrigin rejecting cross-origin JSON requests.

08 Oct 2026
github.com/withastro/astro →
Beta

Angular 22.3.0-next.1: scrollMargin for @defer viewport triggers, alongside 22.2.2

The pre-release adds scrollMargin to @defer viewport options, so loading can start before the block scrolls into view, plus smart selection ranges for templates in the language service. The stable 22.2.2 ships several signal-forms fixes (Object.is comparison, pending debounced values lost when a control is destroyed) and the compiler now strips script elements regardless of namespace.

08 Oct 2026
github.com/angular/angular →
🔧

Build Tools & Runtimes

Release

Vite 8.3.4: import.meta.hot.acceptExports in bundled dev plus a batch of preload and CSS fixes

Bundled dev mode keeps maturing: it supports import.meta.hot.acceptExports, serves /@vite/client and stubs @vite/env. On the build side, preloads are fixed for chunkImportMap with a non-root base, and the preload helper now waits for in-flight stylesheets. Also: imported preprocessors resolve from their file path with lightningcss, and a restart requested during another restart is no longer dropped.

08 Oct 2026
github.com/vitejs/vite →
🔥

Top Stories

Notable

Safari Technology Preview 254 : calc-size(), interpolate-size et les raccourcis size et border-*-radius

C'est la pièce manquante pour animer vers height: auto dans WebKit : calc-size() et interpolate-size arrivent. Aussi : les raccourcis size, min-size et max-size, les raccourcis par côté du type border-top-radius, symbols() pour les counter styles anonymes et les linked parameters CSS (link-parameters et param()). Côté API : options transfer et hevc dans WebCodecs, arithmétique 128 bits en WebAssembly et browsingContext.captureScreenshot dans WebDriver BiDi. Chromium ayant déjà calc-size(), la route vers Baseline raccourcit.

08 Oct 2026
webkit.org →
Sécurité

Handlebars : deux advisories critiques d'injection JavaScript, dont un contourne le correctif de CVE-2026-33937

Si vous compilez des templates non fiables, c'est pour vous : GHSA-8r5x-fm3f-whwj (CVSS 9.8) est une injection JavaScript via une confusion de type dans l'AST de compile qui contourne le correctif de CVE-2026-33937, et GHSA-p8wg-vrv2-v86f neutralise la vérification des own properties. Un troisième advisory, moyen, concerne l'intégration inline de templates précompilés. Les versions 4.0.0 à 4.7.9 sont touchées ; le correctif est [email protected]. Vérifiez aussi les dépendances transitives.

08 Oct 2026
github.com/advisories →
📱

React Native

Bêta

React Native 0.88 RC.4 : module augmentation pour les types générés de props et de styles

Quatrième release candidate de 0.88. Côté TypeScript, on peut désormais utiliser la module augmentation pour étendre les types générés de props et de styles. Sur Android, un bug d'accessibilité qui rendait un Pressable partiellement non cliquable après le reset de accessibilityState.disabled est corrigé.

07 Oct 2026
github.com/facebook/react-native →
🧩

JS Frameworks

Notable

Astro 7.3.8 : le bundling interne passe d'esbuild à Oxc et Rolldown

Cela ressemble à un patch, mais le changement est structurel : Astro utilise désormais transformWithOxc de Vite et Rolldown pour ses transformations internes et ne dépend plus directement d'esbuild. Il corrige aussi Astro.cache indéfini sur les pages 404/500 et astro add qui supprimait les approbations allowBuilds sous pnpm 11. La 7.3.7 de la veille corrigeait security.checkOrigin qui rejetait les requêtes JSON cross-origin.

08 Oct 2026
github.com/withastro/astro →
Bêta

Angular 22.3.0-next.1 : scrollMargin pour les déclencheurs viewport de @defer, avec la 22.2.2

La pré-version ajoute scrollMargin aux options viewport de @defer, pour déclencher le chargement avant que le bloc n'entre à l'écran, et la sélection intelligente de plages dans les templates. La 22.2.2 stable apporte plusieurs correctifs pour les signal forms (comparaison Object.is, valeurs debounce perdues à la destruction d'un contrôle) et le compilateur supprime désormais les éléments script quel que soit le namespace.

08 Oct 2026
github.com/angular/angular →
🔧

Build Tools & Runtimes

Release

Vite 8.3.4 : import.meta.hot.acceptExports en bundled dev et une série de correctifs preload et CSS

Le mode bundled dev continue de mûrir : il supporte import.meta.hot.acceptExports, sert /@vite/client et fournit un stub pour @vite/env. Côté build, les preloads sont corrigés avec chunkImportMap et une base non racine, et le helper de preload attend désormais les feuilles de style en cours de chargement. Aussi : préprocesseurs importés résolus depuis leur chemin avec lightningcss, et un redémarrage demandé pendant un autre n'est plus perdu.

08 Oct 2026
github.com/vitejs/vite →