Blog
Perspectives sur le développement logiciel, la sécurité et la technologie de notre équipe.
Un prototype pollué peut détourner votre trafic axios. Passez à la version 1.18.0.
axios vient de divulguer CVE-2026-67320, une faille de pollution de prototype dans son adaptateur HTTP Node.js qui peut rediriger les requêtes sortantes de votre serveur via un proxy contrôlé par un attaquant et exposer des identifiants en clair. C'est un rappel cinglant qu'une dépendance que vous configurez à peine reste une surface d'attaque. Voici ce qu'il faut corriger, et ce qu'il faut changer au-delà du correctif.
Le React Compiler passe en Rust, et Next.js 16.3 peut déjà l'utiliser
L'équipe React a réécrit le React Compiler en Rust, et Vercel l'a intégré à Turbopack. Next.js 16.3 annonce une compilation des routes 20 à 50 % plus rapide sur le chemin natif. Nous examinons si l'option expérimentale vaut la peine d'être activée et comment la tester sans risquer la production.
Une requête POST suffit à compromettre un site WordPress par défaut. Patchez vers la 7.0.2 sans attendre.
WordPress vient de corriger wp2shell, une chaîne d'exécution de code à distance non authentifiée dans le core qui transforme une seule requête en prise de contrôle totale d'un site par défaut. Elle affecte les versions 6.8 à 7.0.1, et le code d'exploit public circule déjà. Voici ce que les équipes web et sécurité doivent faire cette semaine, et comment vérifier si vous avez déjà été compromis.
Le @State de SwiftUI est désormais une macro, et Xcode 27 va casser certains de vos builds
WWDC 2026 a transformé le @State de SwiftUI, le faisant passer de property wrapper à macro. Dans Xcode 27, un pattern d'initialisation courant ne compile plus. Le plancher de l'App Store étant toujours iOS 26, c'est une tâche à planifier, pas une urgence — à condition de commencer maintenant.
Un bug critique de PhpSpreadsheet a contourné son propre correctif
Le correctif de PhpSpreadsheet pour un bug de désérialisation phar a été contourné avec un chemin contenant un slash supplémentaire. La nouvelle faille, CVE-2026-45034, est une vulnérabilité critique de niveau 9,2 : exécution de code à distance complète sur PHP 7.x et une primitive de lecture de fichier sur PHP 8.x. Voici comment fonctionne le contournement et ce que votre équipe devrait faire cette semaine.
TypeScript 7.0 est 10x plus rapide et écrit en Go. Voici comment l'adopter sans casser votre CI.
Microsoft a publié le Release Candidate de TypeScript 7.0 le 18 juin 2026, et le grand changement, c'est le compilateur lui-même, désormais écrit en Go et environ 10 fois plus rapide que la version 6.0. Il s'agit d'un portage plutôt que d'une réécriture, donc les règles de typage restent les mêmes. La bonne approche est de l'exécuter comme un job CI fantôme dès maintenant et de l'adopter à votre propre rythme.
Node.js abandonne le modèle pair-impair. Voici comment planifier vos mises à jour.
Node.js abandonne le modèle pair-impair sur lequel les équipes backend se sont appuyées depuis dix ans. À partir de la version 27, une seule version majeure par an, chaque version devient LTS, et un nouveau canal Alpha de six mois s'ouvre en octobre. Voici ce que cela change si vous déployez Node en production, et le seul job CI à ajouter dès maintenant.
Redis 8.8 dispose enfin de tableaux natifs et d’un limiteur de débit intégré. Voici quoi en faire.
Redis 8.8 vient de sortir avec un type de données tableau natif et INCREX, une commande de limitation de débit intégrée qui remplace les scripts Lua maison que la plupart des équipes utilisent aujourd’hui. Ces fonctionnalités sont réellement utiles, mais la bonne décision n’est pas de mettre à jour un vendredi. Voici comment nous aborderions cela pour un client, et l’audit qui vaut la peine d’être fait cette semaine, quoi qu’il en soit.
Android est officiellement Compose-first. Votre application basée sur les Views est désormais du code legacy.
À Google I/O 2026, Google a fait de Jetpack Compose la méthode officielle pour créer les interfaces Android et a placé le toolkit View en mode maintenance. Pour les nombreuses applications en production encore basées sur les Views, cela transforme une question récurrente en une vraie décision. Voici comment les équipes mobiles devraient réagir, sans tout réécrire d'un coup.
Apple et Google rendent les téléphones moins captifs. Les équipes mobile ont besoin d'un nouveau guide.
iOS 26.5 est sorti cette semaine avec un transfert sans fil vers Android, le chiffrement de bout en bout RCS et un nouveau palier d'abonnement pour l'App Store. Quelques heures plus tard, l'Android Show I/O Edition 2026 de Google a confirmé que la coopération va dans les deux sens. Le verrouillage des plateformes vient de s'affaiblir, et cela change la façon dont les équipes mobile devraient envisager la rétention et la tarification.
Next.js vient de corriger 13 avis de sécurité. Les équipes auto-hébergées ont le plus de travail.
Vercel a publié une mise à jour de sécurité coordonnée le 7 mai : 13 avis concernant Next.js et React Server Components, couvrant les attaques DoS, SSRF, l'empoisonnement de cache et les contournements de middleware dans App Router. Les équipes auto-hébergées sous Node sont les plus touchées. La leçon fondamentale : le middleware n'a jamais été une barrière d'autorisation.
Un agent IA a détruit une base de données de production en 9 secondes. Voici ce qui s'est passé.
Un agent Cursor propulsé par Claude Opus 4.6 a supprimé de façon autonome l'intégralité de la base de données de production et des sauvegardes d'une startup via un seul appel API. Cet incident révèle de vraies lacunes dans la façon dont les équipes confient aux agents IA les clés de leur infrastructure de production.