5. Terragrunt (9k+ ⭐, MIT)
Orquesta OpenTofu/Terraform a escala: config DRY con include, crea el backend del state y respeta dependencias entre módulos.
Mi opinión: servidores, Ansible; nube nueva, OpenTofu; si tu equipo odia HCL, Pulumi.
¿Con cuál manejas tu infra hoy?
🚨 Si tienes una API en Express, revisa esto: una sola petición puede tumbar tu servidor Node.js. Vulnerabilidad alta (CVSS 7.5) en body-parser, CVE-2026-111181, sin auth.
Afecta a body-parser < 1.20.9 y 2.x < 2.4.0, con opciones por defecto.
Qué pasa 👇
Qué hacer:
- Sube a 1.20.9 o 2.4.0 (npm update body-parser; Express 4 y 5 ya las aceptan)
- Si no necesitas cuerpos comprimidos: inflate: false
- Usa un process manager que lo reinicie
Mi opinión: un DoS de una petición en el parser por defecto es serio. ¿Ya actualizaste?
Advisory oficial de expressjs:
github.com/expressjs/body-pa…
GitHub Advisory Database:
github.com/advisories/GHSA-2…
🚨 Si usas Laravel con el guard "token" en tu API, actualiza ya: publicaron una vulnerabilidad crítica (CVSS v4 9.2), CVE-2026-114509, que permite autenticarse como otro usuario sin su token.
Afecta a laravel/framework < 12.68.0 y 13.x < 13.29.0.
Qué pasa 👇
Qué hacer:
- Sube a 12.68.0 o 13.29.0 (composer update laravel/framework)
- Busca guards con driver token en config/auth.php
- Si no puedes actualizar, valida que el token sea string
Mi opinión: tokens planos en una columna ya eran deuda técnica. ¿Aún usas api_token?
Advisory oficial de Laravel:
github.com/laravel/framework…
GitHub Advisory Database:
github.com/advisories/GHSA-f…
¿Usas Claude Code en scripts o CI y terminas parseando texto libre con regex?
Con claude -p y --json-schema la respuesta sale como JSON que cumple tu schema, en el campo structured_output. Lo lees con jq y listo.
¿Ya tienes un agente dentro de tu pipeline o todavía no?
ALT Card sobre Claude Code en modo no interactivo. Título: JSON validado en tu pipeline. A la izquierda, el comando: claude -p "Extrae las funciones de auth.py" --output-format json --json-schema con un schema de un objeto con un array functions de strings, y el resultado pasado a jq .structured_output; comentario: sin el campo = no hubo salida válida. A la derecha, qué obtienes según la documentación: -p corre sin interfaz; --json-schema hace que la salida respete tu JSON Schema; structured_output es donde llega el JSON; session_id sirve para seguir la sesión con --resume; total_cost_usd es el costo estimado de la corrida. Fuente: docs oficiales de Claude Code.
Ojo, según la doc: si la corrida termina sin salida válida (por ejemplo, Claude rechaza la tarea), no viene structured_output. Revisa que exista antes de usarlo.
Docs: code.claude.com/docs/en/head…
Mi opinión: un agente en CI sin schema es un parser frágil esperando romperse.
¿Tu build con webpack tarda minutos y el HMR ya no se siente instantáneo?
Hoy hay bundlers open source mucho más rápidos, varios escritos en Rust o Go, y alguno te deja migrar sin reescribir la config.
5 opciones, por estrellas en GitHub 🧵 #JavaScript
5. Rspack (12k+ ⭐, MIT)
En Rust, de ByteDance. Moderniza la API de webpack y es compatible con sus loaders y plugins. Trae Module Federation y HMR incremental.
Mi opinión: proyecto nuevo, Vite; monolito en webpack, Rspack, por lo barato de migrar.
¿Con cuál haces build hoy?
