Veille Angular, semaine 43

Sécurité

GHSA-jfgx-762w-99vr (publiée le 16 octobre, sévérité élevée, pas de CVE assigné, correctif incomplet de CVE-2025-66035) : xsrfInterceptorFn de @angular/common écarte les URLs absolues avec une expression régulière, mais certaines URLs normalisées par le navigateur la contournent (par exemple /\attacker.example/api). L'en-tête X-XSRF-TOKEN est alors envoyé à un autre hôte. Versions touchées : de 21.0.0 à moins de 21.0.3, de 20.0.0 à moins de 20.3.34, et 19.2.25 et antérieures. Corrigé en 20.3.34, 21.0.3 et dans toutes les 22.x ; la 19.x n'est plus maintenue. Contournement : valider new URL(url, window.location.origin).origin avant toute requête mutante construite à partir d'une URL non fiable.
Angular 22.2.3 (14 octobre) : deux commits de durcissement contre la pollution de prototype, l'un sur l'encodage des paramètres dans common, l'autre sur le JIT du compiler. Aucune advisory n'est liée à ces commits.

Angular 22.3.0-next.2 (14 octobre, pré-release) : prise en charge des bindings de propriété popover dans le compiler, outil de preprocessor serve et exécution WASM synchrone dans compiler-cli, plus des correctifs sur une boucle infinie de l'i18n quand le DOM est écrasé et sur la destruction de vues embarquées avec animations.
Angular 22.2.3 (14 octobre, patch) : reprend ces correctifs sur la ligne stable. La gestion du blur dans les forms ne planifie plus de détection de changements inconditionnelle, et le replay d'événements ne plante plus quand deux applications partagent le même APP_ID.
Angular CLI 22.3.0-next.2 (15 octobre, pré-release) : migration de ng-packagr vers le builder de bibliothèque, prise en charge du nonce CSP sur les liens de feuilles de style et de modulepreload, et indices de tableau à plusieurs chiffres dans ng config.
Angular Material et CDK 22.3.0-next.2 (14 octobre, pré-release) : les chips implémentent le motif de zone tactile, et le CDK traite les éléments inert comme non focusables.

Nx 24.0.0-beta.3 (18 octobre, beta) : le module federation intégré à Nx est retiré au profit des plugins officiels, les tâches affectées sont sélectionnées par défaut, et les plugins de framework délèguent la vérification de types à @nx/js/typescript.
Nx 24.0.0-beta.2 (14 octobre, beta) : Vitest 5 est accepté quand Angular le déclare en peer, nouveau plugin rolldown, et les lots de tâches s'exécutent par vagues pour que les tâches différées profitent du cache.

Vitest 5.0.4 (13 octobre) : fsModuleCache activé par défaut, option test.ui.theme, et les instances du mode navigateur tournent désormais comme des workers, ce qui ouvre moins de navigateurs mais peut dégrader les performances avec un maxWorkers personnalisé.
Vitest 5.0.5 (15 octobre, patch) : conserve le fs.deny par défaut de Vite quand un fichier de jeton d'API est présent, et libère les mocks des fichiers de test terminés.
Playwright 1.64.1 (14 octobre, patch de régression) : corrige _electron.launch qui perdait la première fenêtre d'une application empaquetée, et les redirections cross-origin avec preflight avortées en net::ERR_ABORTED sous Chromium 155 et plus dès qu'une route est enregistrée.