← Actus Dev

Dev News — 12 oct. 2026 : Bun 1.4.3 livre son propre type checker, une faille critique TinaCMS et pnpm 12.12 avec cache distant

Lo nuevo hoy

Today's highlights

Points forts du jour

Click en cualquiera para ir al detalle

Click any item to jump to the full section

Cliquez un élément pour aller à la section complète

🔥

Top Stories

Destacado

Bun 1.4.3: bun check, un type checker de TypeScript sin el paquete typescript

Esto es ENORME para el ecosistema: Bun ahora trae bun check, un type checker integrado que lee tu tsconfig.json, no necesita el paquete typescript y según el post corre entre 3x y 7x más rápido que tsc 7. Los flags --check en bun run, bun test y bun build cortan la ejecución si hay errores de tipos. Además: servidores en idle consumen 67–89% menos CPU, llega Bun.FetchSession para aislar pools de conexiones, y hay hardening de TLS (verificación de certificados en el handshake, CVE-2026-48618) más rate limit de resets en node:http2. Ojo: un type checker alternativo a tsc puede diferir en casos borde, así que no tires tu CI todavía.

10 Oct 2026
bun.com →
Seguridad

TinaCMS: el iframe de preview del admin carga un origen controlado por el atacante (crítico)

Si usás TinaCMS, actualizá YA. El admin arma el src del iframe de preview desde el fragment de la URL sin validar que siga siendo same-origin: un #/~//attacker.example se vuelve una URL protocol-relative, y ese mismo valor define el expectedOrigin del canal postMessage. Resultado: con un solo link abierto por un editor logueado, el atacante ejecuta cualquier operación GraphQL con el token del editor (CVE-2026-108261). Afecta tinacms ≤ 3.13.0 y @tinacms/app ≤ 2.5.13; el mismo día salieron un stored XSS en @tinacms/web-components y una inyección de código vía nombre de branch en @tinacms/cli.

09 Oct 2026
GitHub Advisory →
🧩

JS Frameworks

RC

Vue 3.6.0-rc.11: tanda grande de fixes para Vapor Mode

Once RCs y contando: casi todo el changelog es compiler-vapor y runtime-vapor alineándose con el comportamiento de la VDOM (orden de lookup de componentes, fallthrough del root, v-show con Transition, namespaces SVG/MathML). Además el compilador SFC ahora rechaza scripts vapor sin script setup y avisa cuando v-memo o los hooks @vue:* se ignoran. Si estás probando Vapor, este es el RC para testear contra tu app.

10 Oct 2026
github.com/vuejs/core →
Patch

Nuxt 4.6.1: fixes de tipos y compatibilidad con Vite 8.1+

Patch de 4.6 que vale la pena si ya actualizaste: reconoce los nuevos mensajes del optimizer de Vite 8.1+, no aborta el dep scan con imports virtuales en paquetes instalados, alinea los tipos Serialize con JSON y resuelve nitropack/types bajo nodenext. También construye la web view del evento portable de Nitro en el primer acceso, un pequeño win de performance.

09 Oct 2026
github.com/nuxt →
🔧

Build Tools & Runtimes

Destacado

pnpm 12.12: remote cache para pnpm pipeline, addMissingPeerTypes y un fix de seguridad en builds

pnpm sigue comiéndose el terreno de Turborepo: pnpm pipeline ahora comparte resultados de tareas entre máquinas como artefactos firmados, en un server pnpr o en cualquiera que hable la Turborepo Remote Cache API (Vercel incluido), configurado con el nuevo setting remoteCache. El setting addMissingPeerTypes linkea el @types de una peer dependency al lado de cada paquete que la usa, clave con el global virtual store. Y ojo con esto: arregla un bug donde dangerouslyAllowAllBuilds ejecutaba build scripts de paquetes que allowBuilds tenía denegados.

10 Oct 2026
github.com/pnpm →
🛠️

Developer Tools

Alpha

Storybook 11.0.0-alpha.5: soporte para Vitest 5 en el addon de testing

El addon de Vitest ya soporta Vitest 5, así que si querés probar el combo Storybook 11 + Vitest 5 este alpha es el punto de partida. También bumpea webpack-dev-middleware a 8.3.0 por un advisory, y el CLI mejora los upgrades: instala todos los proyectos del workspace de pnpm y falla con un hint en vez de quedarse esperando un prompt con --yes.

09 Oct 2026
github.com/storybookjs →
🔥

Top Stories

Notable

Bun 1.4.3: bun check, a TypeScript type checker without the typescript package

Bun now ships bun check, a built-in type checker that reads your tsconfig.json, needs no typescript package and, per the post, runs 3x to 7x faster than tsc 7. New --check flags on bun run, bun test and bun build stop on type errors. Also: idle servers use 67–89% less CPU, Bun.FetchSession isolates connection pools, and TLS gets hardened (certificate verification during the handshake, CVE-2026-48618) plus stream-reset rate limiting in node:http2. An alternative checker may differ from tsc on edge cases, so keep tsc in CI for now.

10 Oct 2026
bun.com →
Security

TinaCMS: admin preview iframe loads an attacker-controlled origin (critical)

If you run TinaCMS, update now. The admin builds the preview iframe src from the URL fragment without checking it stays same-origin: #/~//attacker.example becomes a protocol-relative URL, and that same value sets the expectedOrigin of the postMessage channel. One link opened by a logged-in editor lets an attacker run any GraphQL operation with the editor's token (CVE-2026-108261). Affects tinacms ≤ 3.13.0 and @tinacms/app ≤ 2.5.13; the same day brought a stored XSS in @tinacms/web-components and code injection via branch names in @tinacms/cli.

09 Oct 2026
GitHub Advisory →
🧩

JS Frameworks

RC

Vue 3.6.0-rc.11: a big batch of Vapor Mode fixes

Eleven RCs and counting: almost the whole changelog is compiler-vapor and runtime-vapor aligning with VDOM behavior (component lookup order, root fallthrough, v-show through Transition, SVG/MathML namespaces). The SFC compiler now rejects vapor scripts without script setup and warns when v-memo or @vue:* hooks are ignored. If you are trying Vapor, test your app against this RC.

10 Oct 2026
github.com/vuejs/core →
Patch

Nuxt 4.6.1: type fixes and Vite 8.1+ compatibility

A 4.6 patch worth taking if you already upgraded: it matches Vite 8.1+ optimizer messages, no longer aborts the dep scan on virtual imports in installed packages, aligns Serialize types with JSON and resolves nitropack/types under nodenext. Nitro's portable event web view is now built lazily on first access, a small performance win.

09 Oct 2026
github.com/nuxt →
🔧

Build Tools & Runtimes

Notable

pnpm 12.12: remote cache for pnpm pipeline, addMissingPeerTypes and a build-script safety fix

pnpm pipeline can now share task results between machines as signed artifacts, stored on a pnpr server or any server speaking the Turborepo Remote Cache API (Vercel included), configured via the new remoteCache setting. The addMissingPeerTypes setting links a peer dependency's @types package next to every package that peer-depends on it, which matters with the global virtual store. It also fixes dangerouslyAllowAllBuilds running build scripts of packages that allowBuilds denies.

10 Oct 2026
github.com/pnpm →
🛠️

Developer Tools

Alpha

Storybook 11.0.0-alpha.5: Vitest 5 support in the testing addon

The Vitest addon now supports Vitest 5, so this alpha is the starting point for trying Storybook 11 with Vitest 5. It also bumps webpack-dev-middleware to 8.3.0 for an advisory, and the CLI improves upgrades: it installs every pnpm workspace project and fails with a hint instead of prompting under --yes.

09 Oct 2026
github.com/storybookjs →
🔥

Top Stories

Notable

Bun 1.4.3 : bun check, un type checker TypeScript sans le paquet typescript

Bun livre désormais bun check, un type checker intégré qui lit votre tsconfig.json, n'a pas besoin du paquet typescript et, selon le billet, tourne 3x à 7x plus vite que tsc 7. Les flags --check sur bun run, bun test et bun build s'arrêtent sur les erreurs de types. Aussi : les serveurs au repos consomment 67–89 % de CPU en moins, Bun.FetchSession isole les pools de connexions, et TLS est durci (vérification des certificats pendant le handshake, CVE-2026-48618) avec un rate limit des resets dans node:http2. Un checker alternatif peut diverger de tsc sur les cas limites : gardez tsc en CI pour l'instant.

10 Oct 2026
bun.com →
Sécurité

TinaCMS : l'iframe de preview de l'admin charge une origine contrôlée par l'attaquant (critique)

Si vous utilisez TinaCMS, mettez à jour maintenant. L'admin construit le src de l'iframe de preview à partir du fragment d'URL sans vérifier qu'il reste same-origin : #/~//attacker.example devient une URL protocol-relative, et cette même valeur fixe l'expectedOrigin du canal postMessage. Un seul lien ouvert par un éditeur connecté permet d'exécuter n'importe quelle opération GraphQL avec son token (CVE-2026-108261). Concerne tinacms ≤ 3.13.0 et @tinacms/app ≤ 2.5.13 ; le même jour, un stored XSS dans @tinacms/web-components et une injection de code via nom de branche dans @tinacms/cli.

09 Oct 2026
GitHub Advisory →
🧩

JS Frameworks

RC

Vue 3.6.0-rc.11 : une grosse série de correctifs Vapor Mode

Onze RC et ce n'est pas fini : presque tout le changelog concerne compiler-vapor et runtime-vapor qui s'alignent sur la VDOM (ordre de résolution des composants, fallthrough du root, v-show via Transition, namespaces SVG/MathML). Le compilateur SFC rejette désormais les scripts vapor sans script setup et avertit quand v-memo ou les hooks @vue:* sont ignorés. Si vous testez Vapor, c'est la RC à essayer sur votre app.

10 Oct 2026
github.com/vuejs/core →
Patch

Nuxt 4.6.1 : correctifs de types et compatibilité Vite 8.1+

Un patch de la 4.6 à prendre si vous avez déjà migré : il reconnaît les messages de l'optimizer de Vite 8.1+, n'interrompt plus le dep scan sur les imports virtuels des paquets installés, aligne les types Serialize sur JSON et résout nitropack/types sous nodenext. La web view de l'événement portable de Nitro est construite au premier accès, petit gain de performance.

09 Oct 2026
github.com/nuxt →
🔧

Build Tools & Runtimes

Notable

pnpm 12.12 : cache distant pour pnpm pipeline, addMissingPeerTypes et un correctif de sécurité des builds

pnpm pipeline peut désormais partager les résultats de tâches entre machines sous forme d'artefacts signés, sur un serveur pnpr ou tout serveur compatible Turborepo Remote Cache API (Vercel inclus), via le nouveau réglage remoteCache. Le réglage addMissingPeerTypes lie le paquet @types d'une peer dependency à côté de chaque paquet qui en dépend, utile avec le global virtual store. Il corrige aussi dangerouslyAllowAllBuilds qui exécutait les build scripts de paquets refusés par allowBuilds.

10 Oct 2026
github.com/pnpm →
🛠️

Developer Tools

Alpha

Storybook 11.0.0-alpha.5 : support de Vitest 5 dans l'addon de test

L'addon Vitest supporte désormais Vitest 5 : cette alpha est le point de départ pour tester Storybook 11 avec Vitest 5. Elle passe aussi webpack-dev-middleware en 8.3.0 suite à une advisory, et le CLI améliore les upgrades : il installe tous les projets du workspace pnpm et échoue avec un indice au lieu d'attendre un prompt sous --yes.

09 Oct 2026
github.com/storybookjs →