Blog
Perspective despre dezvoltare software, securitate și tehnologie de la echipa noastră.
Un prototip poluat poate intercepta traficul tău axios. Actualizează la 1.18.0.
axios tocmai a dezvăluit CVE-2026-67320, o vulnerabilitate de poluare a prototipurilor în adaptorul HTTP Node.js care poate redirecționa cererile de ieșire ale serverului tău printr-un proxy controlat de atacator și scurge credențiale prin HTTP necriptat. Este o reamintire clară că o dependență pe care abia o configurezi reprezintă tot suprafață de atac. Iată ce trebuie corectat și ce trebuie schimbat dincolo de patch.
React Compiler trece pe Rust, iar Next.js 16.3 îl poate folosi deja
Echipa React a rescris React Compiler în Rust, iar Vercel l-a integrat în Turbopack. Next.js 16.3 raportează compilarea rutelor cu 20 până la 50% mai rapidă pe calea nativă. Analizăm dacă merită să activezi flag-ul experimental și cum să îl testezi fără să riști producția.
Un singur request POST preia controlul unui site WordPress implicit. Actualizează la 7.0.2 astăzi.
WordPress tocmai a corectat wp2shell, un lanț de execuție de cod de la distanță fără autentificare din core, care transformă un singur request modificat într-o preluare completă a site-ului pe o instalare implicită. Afectează versiunile de la 6.8 la 7.0.1, iar codul de exploatare public circulă deja. Iată ce ar trebui să facă echipele web și de securitate în această săptămână și cum să verifici dacă ai fost deja afectat.
@State din SwiftUI a devenit un macro, iar Xcode 27 va strica unele build-uri
WWDC 2026 a transformat @State din SwiftUI dintr-un property wrapper într-un macro. În Xcode 27, un tipar obișnuit de inițializare nu mai compilează. Minimul App Store este încă iOS 26, deci aceasta este o sarcină pe care o poți planifica, nu o urgență, dacă începi acum.
Un bug critic în PhpSpreadsheet a trecut direct prin propriul patch
Patch-ul PhpSpreadsheet pentru un bug de deserializare phar a fost eludat printr-un path cu un slash în plus. Noua vulnerabilitate, CVE-2026-45034, are rating 9.2 critic: execuție completă de cod de la distanță pe PHP 7.x și o primitivă de citire a fișierelor pe PHP 8.x. Iată cum funcționează ocolirea și ce ar trebui să facă echipa ta săptămâna aceasta.
TypeScript 7.0 e de 10 ori mai rapid și scris în Go. Cum îl adopți fără să strici CI-ul.
Microsoft a lansat Release Candidate-ul TypeScript 7.0 pe 18 iunie 2026, iar schimbarea majoră este compilatorul însuși, acum scris în Go și de aproximativ 10 ori mai rapid decât 6.0. Este o portare, nu o rescrie de la zero, deci regulile de tip rămân aceleași. Cea mai bună abordare este să îl rulezi ca un job CI secundar acum și să îl adopți în propriul ritm.
Node.js renunță la modelul par-impar. Cum îți planifici acum actualizările.
Node.js retrage modelul de lansare par-impar pe care echipele de backend s-au bazat timp de un deceniu. Începând cu versiunea 27, există un singur major pe an, fiecare lansare devine LTS și un nou canal Alpha de șase luni se deschide în octombrie. Iată ce schimbă asta dacă rulezi Node în producție și singurul job CI de adăugat acum.
Redis 8.8 are în sfârșit array-uri native și un rate limiter integrat. Iată ce poți face cu ele.
Redis 8.8 a sosit cu un tip de date array nativ și INCREX, o comandă integrată de rate limiting care înlocuiește scripturile Lua personalizate pe care le folosesc astăzi majoritatea echipelor. Funcționalitățile sunt cu adevărat utile, dar mișcarea inteligentă nu este să faci upgrade-ul vineri. Iată cum am aborda situația pentru un client și auditul care merită făcut săptămâna aceasta, indiferent de decizie.
Android este oficial Compose-first. Aplicația ta bazată pe View este acum cod legacy.
La Google I/O 2026, Google a făcut din Jetpack Compose modalitatea oficială de a construi interfața Android și a trecut setul de instrumente View în modul de întreținere. Pentru numeroasele aplicații de producție construite încă pe Views, aceasta transformă o întrebare de lungă durată într-o decizie reală. Iată cum ar trebui să răspundă echipele mobile, fără a rescrie totul dintr-o dată.
Apple și Google au făcut telefoanele mai ușor de schimbat. Echipele mobile au nevoie de o nouă strategie.
iOS 26.5 a fost lansat săptămâna aceasta cu Transfer wireless către Android, criptare end-to-end RCS și un nou nivel de abonament în App Store. Câteva ore mai târziu, Android Show I/O Edition 2026 de la Google a confirmat că această cooperare funcționează în ambele sensuri. Dependența de platformă tocmai s-a slăbit, iar asta schimbă modul în care echipele mobile ar trebui să abordeze retenția și prețurile.
Next.js tocmai a corectat 13 vulnerabilități de securitate. Echipele self-hosted au cea mai multă treabă.
Vercel a lansat pe 7 mai o actualizare coordonată de securitate: 13 advisory-uri pentru Next.js și React Server Components, acoperind DoS, SSRF, otrăvire a cache-ului și bypass-uri de middleware în App Router. Echipele self-hosted care rulează Node sunt cele mai afectate. Concluzia mai profundă: middleware-ul nu a fost niciodată o graniță de autorizare.
Un agent AI a distrus o bază de date de producție în 9 secunde. Iată ce a mers prost.
Un agent Cursor care rula Claude Opus 4.6 a șters autonom întreaga bază de date de producție și copiile de rezervă ale unui startup printr-un singur apel API. Incidentul scoate la iveală lacune reale în modul în care echipele înmânează agenților AI cheile infrastructurii de producție.