Veille Angular, semaine 39

Sécurité

GHSA-r653-wxfp-pp9c (16 septembre, CVSS 5.1, modérée) : l'extension navigateur Angular DevTools accepte des messages runtime Chrome envoyés par une page web ou un script tiers non fiable, ce qui permet de faire attacher le débogueur Chrome à un autre onglet ouvert et de geler son exécution via un point d'arrêt du protocole de débogage. Aucune exécution de code ni fuite de données, déni de service local uniquement. Touche l'extension de la version 1.20.0 à 1.21.0, corrigée en 1.21.1.
GHSA-7w5x-hrqm-74c2 (CVSS 8.2, élevée) : smol-toml, dépendance directe de Nx depuis qu'il a remplacé @ltd/j-toml en 22.7.0, entre en boucle infinie sur un document TOML malformé (une valeur suivie d'un commentaire sans retour à la ligne, par exemple a=[1 #), bloquant le CPU à 100 %. Nx a repris le correctif dans 23.3.0-beta.1 (17 septembre) en passant à smol-toml 1.7.1.

Angular 22.2.0-rc.0 (16 septembre), première release candidate de la ligne 22.2 : nouvelle option strictUnclaimedEventNames du compilateur pour repérer les liaisons de sortie mal orthographiées, mise à jour de FakeNavigation sur la spec WHATWG, maintien de l'état gelé du router jusqu'à la fin du chargement d'une resource lors d'un rollback de navigation. Reprend aussi les correctifs du patch 22.1.7 (16 septembre) : enveloppement de l'expression de collection @for avant l'assertion non-null, retour de null par getDirectiveMetadata sur une entrée nulle ou indéfinie, et marquage d'un contrôle comme dirty avant l'affectation de sa valeur dans l'interop FVC des formulaires.
Angular CLI 22.2.0-rc.0 (16 septembre) : dans @angular/build, prise en compte des feuilles de style de composant inline parmi les fichiers surveillés, évitement d'un cache de bundler périmé lors de la résolution du cache de chargement, et clé des résolutions de paquets Sass sans qualification d'URL complète pour accélérer le build.
Angular Components 22.2.0-rc.0 (16 septembre) : material-luxon-adapter gagne une option de configuration de zone, correction de la génération des Material Symbols dans le schematic et d'un faux positif de détection de police pour l'icône du composant icon. Dans le CDK, mise à jour des lignes de table quand leurs définitions changent, déjà livrée en patch dans 22.1.7 (16 septembre).

Nx 23.3.0-beta.1 (17 septembre) : support de NgRx v22 dans @nx/angular, scaffolding et exécution d'applications SSR sur le moteur @angular/ssr via @nx/angular-rspack, en plus du correctif de sécurité smol-toml ci-dessus.
Nx 23.3.0-beta.2 (19 septembre) : mise en cache des capacités de plugin pour ne les lire qu'une fois par exécution, correctif sur le chemin de sortie du bundle esbuild quand il est surchargé, et réutilisation du graphe de projet à l'intérieur des workers de concurrence ESLint.

AnalogJS v2.8.0-beta.5 (15 septembre) : support de la projection de contenu pour les composants "island" dans astro-angular, après l'ajout d'aides de validation et de formulaire optionnelles pour le router dans la v2.8.0-beta.4 (15 septembre).

ngwr (v14.8.0, 17 septembre) : bibliothèque de plus de 100 composants Angular standalone et zoneless, dont 19 contrôles de formulaire qui implémentent directement FormValueControl ou FormCheckboxControl des Signal Forms. MIT, compatible Angular 22, 227 points d'entrée séparés pour le tree-shaking. Pourquoi tester : les contrôles de formulaire implémentent l'API Signal Forms directement plutôt que de passer par ControlValueAccessor, ce qui évite la couche de compatibilité historique des Reactive Forms.
forty-cdk (v0.26.0, 18 septembre) : plus de 60 primitives Angular headless avec gestion du focus, du clavier et de l'accessibilité WAI-ARIA intégrée, sans style imposé. MIT, compatible Angular 22. Pourquoi tester : couvre des primitives que les kits headless Angular laissent souvent de côté, comme les sélecteurs de date et d'heure et les composants d'affichage de données, avec la même logique de composition que ng-primitives déjà présenté.