前端技术动态日报：2026-08-26

8 月 26 日前端圈迎来一轮「安全 + 基础设施」双重更新：Next.js 紧急修补两枚 Critical RCE，Bun 1.4 以 Rust 重写正式落地，Chrome 152 稳定版带来一批 CSS 与平台新能力。

Next.js 紧急安全更新：两枚 Critical RCE 已修复（16.3.3 / 15.5.24）

Vercel 将原定 8/26 的 Next.js 安全更新提前至 8/25 发布，同时修复两个 Critical 级未授权远程代码执行漏洞。其一是图片优化 API 在处理攻击者可控的 AVIF 时，底层 libheif（经 sharp 调用）导致的 RCE（GHSA-2xp9-vwfh-vxw4，CVSS 9.5）；其二是 Windows 托管环境下（Pages/App Router 且未启用 Cache Components）的 RCE（CVE-2026-75604），无可用绕过方案。受影响的区间为 >=10.0.0 <15.5.24 与 >=16.0.0 <16.3.3，Vercel/Netlify 托管环境不受影响，自托管需尽快升级并重部署。

来源：Next.js 官方安全公告

Gitea 严重 RCE（CVE-2026-60004）被列入 CISA KEV，8/28 前需修复

自托管 Git 平台 Gitea 的 diffpatch API 存在代码注入缺陷（CVSS 9.8），攻击者在获得仓库写权限后可通过构造补丁植入 Git hook，以 Gitea 服务账户身份执行任意命令；由于 Gitea 默认开放注册，外部访客可自注册后直接利用。该漏洞已被证实在野利用，CISA 将其列入 Known Exploited Vulnerabilities 目录，要求相关系统在 8/28 前修复。修复版本为 1.27.1，建议同时关闭开放注册并排查近期新增账户与仓库。

来源：Gitea 1.27.1 发布说明 · CISA KEV 说明

Bun 1.4.0 正式发布：从 Zig 重写为 Rust，内置 React Compiler

Bun 1.4 将运行时核心从 Zig 全面重写为 Rust（约一百万行），二进制体积缩小约 20%，并新增 Bun.Image、Bun.WebView、Bun.markdown、Bun.cron、Bun.Terminal 等原生 API，逐步把图片处理、无头浏览器、Markdown 解析等能力收进运行时。Node.js 兼容性大幅跃升：新增通过 1517 项 Node.js 测试，Claude Code 切换 Rust 版后生产环境 CPU p99 从 24% 降至 10%。bun build 现已内置 React Compiler，官方称比 Babel 插件链路快约 20 倍。

来源：Bun 官方站

Chrome 152 稳定版发布：CSS 伪元素扩展、CPU Performance API、媒体伪类

桌面端 Chrome 152 于 8/25 进入稳定通道，带来一批 CSS 与 Web 平台能力。CSSPseudoElement 扩展到 ::backdrop、::scroll-marker、::view-transition；新增相对透明度 alpha()（CSS Color 5）与 window-drag 属性；HTML 层新增 autocorrect 全局属性。平台侧加入 CPU Performance API（让网站按设备 CPU 性能分级体验）、媒体元素伪类 :playing/:paused/:seeking/:buffering/:stalled/:muted/:volume-locked（Interop 2026 重点，Firefox/Safari 承诺年内跟进，但目前仅 Chromium，且未 Baseline）。

来源：Chrome 开发者发布说明

This Week in React #294：React Compiler 全面推进，19.3 临近

本期周报汇总了近两周的 React 生态进展：Rust 版 React Compiler 落地加速——Oxlint 1.79 已支持，oxc-transform-react 包可自动 memoization 并将很快在 @vitejs/plugin-react 启用，Biome 2.5.8 加入 useReactCompiler 规则，Bun 1.4 也通过 –react-compiler 内置支持。React 团队透露 v19.3 即将到来，Fragment refs 与 ViewTransition 将在该版本稳定，并行 transitions（parallel transitions）也有望同版本上线；此外 Cursor 已将其产品从 Solid（v1）迁移至 React + StyleX。

来源：This Week in React #294（Dev.to）

React Native 0.87 正式发布：Strict TypeScript API 转正、Metro 性能翻倍

React Native 0.87 将 Strict TypeScript API 设为默认公共 JS API（原 0.80 预览），类型直接从源码生成，彻底解决「类型与代码脱节」问题，并将公共 API 限定在根导出范围内以提升稳定性。Metro 升级到 0.87，源映射生成快 2 倍、内存占用减半；iOS 实验性支持 Swift Package Manager，最低工具链要求提高到 Node.js 22、AGP 9、Kotlin 2.0+。官方提供 /migrate-to-strict-api skill 辅助升级，旧类型将在 0.88 后续版本移除。

来源：React Native 官方博客

Vue 3.6.0-rc.5：Vapor Mode 临近稳定，alien-signals 重构响应式

Vue 3.6 最后一个 RC（rc.5，8/21）聚焦 Vapor Mode 的稳定化——这套编译策略在编译期将模板直接编译为操作真实 DOM 的代码，跳过虚拟 DOM 的 diff/patch 开销。该版本还用 alien-signals 重构了响应式系统，并修复了大量 Vapor 运行时、混合渲染（Vapor 与经典组件互操作）、KeepAlive/Teleport/Transition 等边界问题。经典 VDOM 模式保持完全兼容，Vapor 为按需 opt-in。

来源：Vue core releases

SvelteKit 3 进入 Release Candidate：配置迁入 vite.config.ts、要求 Vite 8

SvelteKit 3 进入 RC 阶段，稳定版将在社区验证后尽快发布。主要破坏性变更包括：配置从 svelte.config.js 迁到 vite.config.ts、$lib 别名改为 #lib 子路径导入、TypeScript 配置简化为 $app/tsconfig、显式环境变量定义稳定（src/env.ts）。SvelteKit 3 要求 Vite 8（借助 Rolldown 获得更快构建）并采用 Vite Environment API；远程函数（remote functions）虽仍是实验特性，但被定位为未来客户端-服务端通信的方向。

来源：Svelte 官方博客

Astro 7.2.7 修复归一化请求路径的路由选择（8/25）

Astro 7.2.7 于 8/25 发布，是一个非破坏性补丁，修复了适配器与开发服务器在处理归一化请求路径时的路由选择问题——这类问题常导致难以察觉的 404 与 trailing-slash 解析不一致。同一补丁还修复了 GET/HEAD 请求携带 host 提供 body 时 rewrite() 与 next(payload) 的行为。建议升级后重跑一次状态码抓取确认无路由型 404 残留。

来源：Astro 发布说明（经 oday-bakkour 汇总）

Claude Code 8 月密集更新：跨会话消息、forked subagents 默认、Concise 风格

Anthropic 在 8 月为 Claude Code 连续推送多版更新。v2.1.232 引入跨会话 @-mention 与 SendMessage（可让一个会话唤醒另一个）、将 forked subagents 设为默认、并把 auto mode 作为 Pro/Max/Team 新会话的默认权限模式（8/14 起）；v2.1.237 带来内置 Concise 输出风格（先给结论）；更晚的版本加入 /design 研究预览（可编辑 UI 画板）、Remote Control 移动端（手机远程启动本机会话）、GitLab MR 支持与 Bash 命令 cgroup 限制。

来源：Claude Code 官方 Changelog

GitHub Copilot Agent Plugins 1.0 正式可用：跨客户端的技能 + MCP 插件标准

GitHub 于 8/12 宣布 Agent Plugins 1.0 在 VS Code、Copilot CLI、Copilot SDK 与 Copilot app 全面可用。该开放标准把 Agent Skills 与 MCP server 打包进一个可安装单元，一次构建即可跨兼容客户端复用；AWS、Anysphere、Microsoft、OpenAI、Vercel 参与制定，Google 同日加入为核心维护者。企业可通过 managed-settings.json 治理插件与市场的安装范围，现有 Copilot 插件无需迁移即可继续工作。

来源：GitHub 官方 Changelog

OpenAI Codex 推出 Linux 桌面应用预览，可从 Claude Code / Cursor 导入

OpenAI 于 8/11 发布 ChatGPT / Codex 桌面应用的 Linux 预览版（支持 Ubuntu 24.04/26.04、Debian 13、Fedora 43/44 的 x64 与 ARM64），让 Linux 开发者首次拥有以项目为中心的图形化 Codex 工作区。桌面应用与 Codex CLI 均可从 Claude Code、Claude Cowork、Cursor 导入配置、技能、插件、项目与近期工作，并支持自动同步；Codex CLI 0.147.0 还加入可移植 Agent Plugins 安装与本地/个人/工作区/远程插件目录检索。

来源：OpenAI Codex Changelog

shadcn 4.19.0：私有仓库 registry 支持 + npx migrate base-color

shadcn/ui CLI 4.19.0（8/20）新增对私有 GitHub registry 的支持，可通过 GitHub CLI 凭据或 GH_TOKEN 拉取私有组件；同时加入 npx shadcn migrate base-color 命令，一键切换项目的基准色方案，免去手工改 CSS 变量的麻烦。配合此前 4.18.0 对 package.json / components.json 双来源 registry 的合并解析，组件分发的团队化、私有化进一步成熟。

来源：shadcn Release Notes（Releasebot）

GitHub 趋势周榜（前端 & AI，2026-08-26）：Claude Code 与 OpenAI Codex 领跑

Trendshift 本周榜单显示，AI 方向 Top 10 包括 FlashML-org/FreeToken（AI 基础设施）、deepseek-ai/deepseek-harness（AI agent）、arvids-unavailable/openGym（自托管）等；前端方向则由基于 Claude Code 构建的 ai-job-search、tinyhumansai/openhuman，以及 plannotator/effective-html（生成 HTML 工件的 Agent skills）等领跑。整体趋势印证：以 Claude Code、Codex 为代表的编码智能体，正成为前端与 AI 工具生态的中心节点。

来源：鲫鱼科技周报（掘金）

🗓️ 本周其他值得关注的

• Firefox 154.0.1（8/25） 修复密码访问变慢、意外 Primary Password 弹窗、自动填充故障、Windows 开始菜单快捷方式重复创建等回归问题。来源：Releasebot 浏览器发布说明
• Flutter 3.47（8/12） 将 Material 与 Cupertino 从核心 SDK 解耦为独立包（material_ui / cupertino_ui 1.0），Impeller 成为桌面端默认渲染引擎，Widget Preview 转正稳定，并适配 Xcode 27 / iOS 27。来源：AppsOnAir Mobile Wrapped
• React 19.3 预告：除 Fragment refs 与 ViewTransition 稳定外，Next.js 团队还预览了细粒度预渲染（granular prerendering）与新的数据获取原语。来源：This Week in React #294
• Cursor 迁移到 React + StyleX：官方在 TWIR 中确认，信号（signal）方案在实践中带来性能陷阱，其新产品「Bot」禁止直接使用 useEffect。来源：This Week in React #294

---