Sébastien Rigaux

Veille technologique

Page 5 sur 22

Avis GitHub sur une exécution de code à distance critique dans React Server Components, avec le logo React et les paquets npm concernés.

Une faille critique permet l’exécution de code à distance sans authentification dans certaines applications utilisant React Server Components. Elle concerne react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack dans les versions indiquées par l’avis, avec un score CVSS de 9,5.

Le scénario décrit reste rare : il nécessite des réponses transportant plusieurs tableaux typés et une valeur contrôlée par l’attaquant. Les applications React sans serveur ne sont pas concernées, pas plus que celles qui n’utilisent pas de framework, bundler ou plugin prenant en charge les Server Components. Les correctifs sont disponibles en 19.0.9, 19.1.10, 19.2.9 et 19.3.1 ; les déploiements concernés doivent être mis à jour immédiatement.

mattcarrollcodeRepéré via JavaScript Weekly

ArticleEN

Agent skills : transmettre le contexte sans figer les étapes

newsletter.posthog.comPermalien
Illustration d’une poêle en papier contenant des rubans et des formes en origami, sur fond quadrillé, avec le texte « skill-pilled ».

PostHog partage ses pratiques pour écrire des skills qui aident les agents sans les enfermer dans un workflow fragile. Le principe central : charger le contexte progressivement, préciser l’objectif et les contraintes, mais laisser l’agent choisir les étapes selon le repository et son environnement.

L’article insiste aussi sur la maintenance : séparer les éléments stables du contenu qui évolue, pointer vers une source de vérité et régénérer plutôt que corriger indéfiniment. Ces skills ont un coût de contexte et d’entretien ; mieux vaut les réserver aux tâches récurrentes où l’agent manque réellement de contexte ou échoue par défaut.

Ian VanagasRepéré via JavaScript Weekly

Une foule photographiée en noir et blanc derrière le logo pour et le slogan « Make the web work for everyone ».

Pour réunit une extension navigateur, un CLI, une extension VS Code et un vérificateur de contraste pour examiner l’accessibilité selon WCAG 2.2. Les audits indiquent les éléments concernés et expliquent les corrections ; les critères qui exigent un jugement humain restent signalés pour revue.

Le CLI peut faire échouer une étape CI en présence de constats, générer un rapport HTML pour un site et exposer des outils à un agent via MCP. La couverture automatisée aide sur 51 des 86 critères WCAG 2.2, sans prétendre statuer sur leur conformité : une checklist accompagne les constats pour guider la vérification manuelle.

Repéré via Frontend Focus

Capture de Chrome DevTools montrant le panneau de l’extension, sa minimap, les plages d’activation et d’activité et leurs champs de réglage.

Cette extension pour Chrome DevTools rend les animations CSS déclenchées par le défilement plus faciles à diagnostiquer : une minimap situe le scroller, l’élément et le sujet, tandis que des repères colorés montrent les plages d’activation et d’activité. Les valeurs se modifient en direct ; l’outil prend en charge ScrollTimeline, ViewTimeline et les éléments en position: sticky.

Deux limites viennent de Chrome : les unités relatives comme 90vh sont ramenées à des pixels calculés, et les éléments dans un iframe ne sont pas pris en charge. L’extension répond ainsi à un manque des DevTools, en attendant un éventuel support intégré.

@bramusRepéré via Frontend Focus

Aperçu du dépôt GitHub Azure/data-api-builder, avec le logo Azure et une présentation du projet.

Data API builder génère des endpoints REST et GraphQL ainsi que des outils MCP à partir de bases de données Azure ou de systèmes on-premises. Le moteur prend en charge plusieurs bases, dont Azure SQL, SQL Server, PostgreSQL, MySQL et Cosmos DB, et peut fonctionner en conteneur ou en développement local.

La configuration déclare les entités et leurs permissions ; DAB traduit ensuite les requêtes en SQL. Cette couche réduit le code d’API à maintenir, mais l’accès reste cadré par la configuration et les capacités de chaque base.

Aperçu GitHub du dépôt pgrundev/pgx, décrit comme un runtime PostgreSQL léger pour agents d’IA, écrit en Rust.

PGX concentre des bases PostgreSQL isolées dans un seul runtime Rust, pour les environnements d’agents, de CI et de test à courte durée de vie. La création à la demande depuis un template scellé et le copy-on-write sur ZFS réduisent le coût des branches ; sans clonage de blocs, le système effectue une copie complète.

Le projet est en v0.1.0 et vise les bases jetables, pas les données de production : fsync est désactivé et un runtime constitue un seul domaine de panne. Les benchmarks détaillent les mesures et leurs conditions ; la suite de régression PostgreSQL rapporte zéro différence de résultat dans la configuration décrite, sans prétendre mesurer une compatibilité générale.

Illustration d’un bouton avec une icône de corbeille et d’extraits de code SVG et CSS.

Lea Verou propose de traiter les icônes comme des design tokens CSS : des propriétés personnalisées les associent aux pseudo-éléments, et des masques SVG les affichent sans ajouter de balisage. Les composants peuvent ainsi choisir ou remplacer une icône selon l’état, le thème ou le contexte, tout en centralisant les définitions dans le design system.

La technique a ses limites : le masquage convient surtout aux icônes monochromes, les URL et propriétés enregistrées ne se comportent pas de façon uniforme selon les navigateurs, et Safari nécessite des contournements. L’article détaille ces compromis et présente le package @nudeui/icons qui rassemble le système.

Lea VerouRepéré via Frontend Focus

Visuel GitHub du repository GoogleChromeLabs/webmcp-tools, avec son nom, une description des utilitaires et démos WebMCP et le logo Chrome Labs.

Ce repository rassemble des outils pour travailler avec l’API WebMCP : une extension Chrome inspecte les outils exposés par une page, leurs schémas d’entrée et les problèmes de connexion ; une CLI évalue la capacité des LLM à appeler les bons outils à partir de cas de test définis.

Des démonstrations montrent aussi les intégrations déclaratives et impératives dans des interfaces concrètes. L’ensemble aide à passer de l’expérimentation à des tests plus structurés, sans masquer que le projet vise à soutenir l’adoption d’une API WebMCP encore en développement.

Bannière GitHub du dépôt pingdotgg/ts-rust, présentant le projet comme un port expérimental du compilateur TypeScript 7 en Rust.

ts-rust transpose en Rust le compilateur TypeScript 7, son checker et son language server, en visant les mêmes diagnostics et comportements que l’implémentation Go. Le dépôt rapporte une conformité étendue et des gains marqués sur plusieurs projets ; sur six applications open source, le type checking est en moyenne 2,10 fois plus rapide que TypeScript 7 dans les mesures publiées.

Le compromis est visible dans les options : --fast réduit encore les temps, mais peut augmenter l’usage CPU et mémoire, tandis que certaines différences de diagnostics dépendent du nombre de checkers ou de cycles de types. Le projet reste explicitement expérimental et documente aussi ses limites, notamment en mode build et lors de longues sessions d’édition.

Présentation de dotnetup, le gestionnaire de toolchain .NET, sur le blog officiel .NET

Microsoft lance dotnetup, un gestionnaire de toolchain .NET inspiré de rustup et nvm, qui simplifie l’installation, la mise à jour et la gestion de multiples versions du SDK et des runtimes, sans droits administrateur. L’outil fonctionne dans le dossier utilisateur, respecte les fichiers global.json et permet de suivre des canaux de versions ou d’installer des builds quotidiens, tout en facilitant le nettoyage des versions obsolètes. Il vise aussi les usages CI/CD et promet une expérience unifiée sur macOS, Linux et bientôt Windows.

Chet Husk

Transfert de fichiers chiffré croc entre navigateur et terminal

croc permet d’envoyer des fichiers ou du texte entre deux machines sans configuration réseau, avec chiffrement de bout en bout et sans compte utilisateur. L’outil fonctionne en ligne de commande ou via une interface web, génère un code à partager et prend en charge les transferts multi-fichiers, dossiers et la reprise. Il se distingue par sa simplicité d’usage, sa compatibilité multiplateforme et une UX souvent jugée plus aboutie que Magic Wormhole.

Zackary Scholl

Capture d'écran du dépôt REA sur GitHub

REA propose une approche unifiée de l’ingénierie inverse, pilotée par des agents capables d’analyser des binaires natifs, des applications JavaScript/Electron, des sites web ou des bases de données, sans accès au code source. L’outil s’intègre à des agents comme Claude Code ou Cursor, fournit des preuves et des limites pour chaque analyse, et s’appuie sur des outils natifs (Hopper, Ghidra, IDA) pour l’analyse profonde. La documentation détaille les scénarios pris en charge, la configuration des providers et les workflows CLI, avec des exemples concrets de rétro-ingénierie de fonctionnalités d’applications existantes.

morluto

Illustration d’en-tête pour l’article sur la structure des dossiers React sur le site de Robin Wieruch

Ce panorama détaille les étapes d’organisation d’un projet React, du simple fichier à la structure modulaire d’un monorepo. L’auteur expose les choix de découpage (fichiers, dossiers techniques, dossiers de fonctionnalités, domaines, packages) et leurs impacts sur la maintenabilité, l’isolation des dépendances et la scalabilité. Les exemples concrets montrent comment faire évoluer l’architecture selon la taille du projet, en soulignant les règles pour éviter les dépendances croisées et favoriser la réutilisation.

Robin Wieruch

Aperçu visuel de sqlsimtools avec Studio, CLI, Python et agent AI

sqlsimtools propose un ensemble d’outils open-source pour tester, rejouer et comparer des charges SQL Server sans service hébergé ni télémétrie externe. Il offre quatre modes : une interface Studio locale, une CLI native, un workflow Python et un générateur d’expériences piloté par agent IA. La même suite s’applique à SQL Server 2019–2025, Azure SQL et Microsoft Fabric, sur Windows ou Ubuntu, avec installation locale et exécution directe sur la cible choisie.

Microsoft

Illustration du composant Sheet et nouveautés de la release React Aria v1.22.0

La version 1.22.0 de React Aria introduit le composant Sheet, une surcouche glissable qui s’appuie sur les gestes natifs de scroll pour offrir des transitions fluides et tactiles, idéales pour les panneaux mobiles ou les notifications. Cette release apporte aussi la prise en charge de Turbopack pour l’optimisation des locales, une meilleure gestion des widgets interactifs comme le clavier virtuel, et plusieurs correctifs sur les collections, ComboBox et formulaires.

Adobe

Capture d’écran de la page de release vinext 1.1.0 sur GitHub

La version 1.1.0 de vinext, le plugin Vite qui réimplémente l’API Next.js, aligne de nombreux comportements sur Next.js, notamment pour l’App Router (gestion des redirections, métadonnées, erreurs spéciales) et la gestion du cache. Cette release introduit la stratégie stale-while-revalidate pour use cache, permettant de servir des entrées périmées tout en les régénérant en arrière-plan, et corrige plusieurs incohérences de cache et de rendu côté serveur. Un jalon pour ceux qui cherchent une alternative déployable à Next.js.

github-actions

Illustration d’un article sur l’ajustement automatique de la hauteur des iframes dans Chrome

Chrome 154 introduit la propriété CSS frame-sizing: content-height qui permet à une iframe de s’ajuster dynamiquement à la hauteur de son contenu, sans scripts ni échanges de messages. Cette fonctionnalité nécessite que la page embarquée ajoute une meta-tag spécifique et autorise explicitement le domaine parent, ce qui limite son usage immédiat aux cas où les deux parties coopèrent. L’article détaille les usages concrets (paiement, widgets, formulaires dynamiques), les contraintes de compatibilité et les bonnes pratiques pour éviter les fuites d’information ou les sauts de layout.

Ahmad Elalfy

ToolEN

Engram : mémoire persistante pour agents AI compatibles MCP

engram.gentlemanprogramming.comPermalien

Engram propose une mémoire persistante pour agents AI, compatible avec tout agent supportant le protocole MCP (Claude Code, Gemini CLI, Codex, VS Code, etc.). L’outil fonctionne comme un binaire Go unique sans dépendance externe, stockant les souvenirs dans un fichier SQLite avec recherche FTS5 intégrée. Il offre une interface TUI, la synchronisation Git, et une extension cloud auto-hébergeable, tout en restant local-first et open source sous licence MIT.

Gentleman-Programming

Aperçu de Navbar Gallery, collection de designs de barres de navigation

Navbar Gallery propose une sélection organisée de barres de navigation issues de sites web variés, couvrant des modèles statiques, dropdown, mega menus, sidebars, barres de recherche et annonces. Chaque exemple est consultable par type et renvoie vers le site source, facilitant la veille ou l’inspiration pour concevoir une navigation adaptée à différents contextes d’interface. Une ressource utile pour comparer rapidement des patterns concrets sans se perdre dans des galeries généralistes.

Christina Liubynska

Aperçu de la galerie Footer Design

Footer Design propose une galerie organisée de pieds de page de sites web issus de projets variés, avec un tri par style et type. Cette ressource permet de parcourir rapidement des exemples concrets pour s’inspirer lors de la conception ou de la refonte d’interfaces. On y trouve des approches typographiques, illustrées, en grille ou animées, utiles pour enrichir sa veille UI/UX.

Footer Design