标签
不到24小时内接连爆出四大网络安全事件：PHP隐藏14年的高危远程代码执行漏洞（由OpenAI牵头用AI发现并已发布补丁）、Node.js一口气修复10个漏洞、印度证书机构eMudhra因私钥生成过弱被破解导致HTTPS信任链受威胁，以及云平台Railway遭入侵导致客户API密钥可能全部泄露。
Node.js 发布 2026 年 10 月安全更新，覆盖 26.x、24.x、22.x 版本线，修复了包括 Brotli 解码器远程代码执行和 TLS 证书主机名绕过在内的多个高危漏洞。
Battlezone Online（bzo）是一款免费的 3D 多人坦克游戏，可在桌面、手机或 VR 头显的浏览器中运行，与 BZFlag 客户端和服务器互通，基于 Node.js 和 Three.js 构建，使用 WebSockets、WebTransport 和 WebRTC 传输。
scriptc 发布实验性 API `@scriptc/experimental`，引入 `LifetimeRegion` 与 `ProgramLifetime` 契约，实现基于区域（region）的确定性内存释放，在 Node.js 下可无改动运行，并兼容常驻型编译器场景。
通过更新至最新的 OpenAI Python 和 Node.js SDK，浏览器和计算机使用功能变得更加简便，Kevin Whinnery 在一条推文串中重点介绍了这一点。
AWS 发布 Lambda Web Functions，一种新的形态，允许开发者将标准的监听端口的 HTTP 服务器（Express、Hono、Fastify、Next.js）直接部署到 Lambda 上，支持多并发、按活跃 CPU 计费，无需适配器，与 Event Functions 和 MicroVM 并行推出。
一位独立开发者让 Claude Code 审计了自己 AI 构建应用的后端，发现了六个静默bug——包括失效的速率限制、一个会导致崩溃的异步错误处理程序，以及一个可能丢失已付费订单的 Stripe webhook。他们分享了关于验证 AI 生成代码和定期安排审计的经验教训。
Deno 团队及其创始人 Ryan Dahl 将加入 Cloudflare，以改进 Workers 对 Node.js 开发者的支持，并推动 workerd 成为核心运行时原语。
一位开发者创建了一个名为 apple-llm 的库，使得苹果在 macOS 中内置的本地大语言模型能轻松地从 Node 和 Python 中使用，专注于隐私和特定任务，如结构化数据提取和摘要。
本文描述了一个用于自主编码代理的零依赖Node.js引擎的架构，其特点包括基于波的任务执行、哈希门控验证和动态模型路由，以确保高效可靠的代码生成。
AgentRun 是一个用于AI代理的DSL和工作流语言，通过Jev实现决策的可重复步骤定义，同时保持应用上下文和权限。
此工具允许用户在同一页面上逐帧查看最终视频及其分段草稿，并具有导出为MP4的功能。通过克隆并运行npm start，使用Node.js 22或更高版本即可快速设置。
gg-friggin-ez 是一个开源的 Node.js 工具，用于快速、多语言的脏话和有害内容检测，支持印地语和孟加拉语等语言，并具备规避检测功能。
adm-zip 中存在一个本地提权漏洞，允许构造的 ZIP 文件设置 SUID/SGID 位，导致以 root 权限解压时本地用户可获取 root 访问权限。该问题已在 0.6.1 版本中修补。
Vite+ v0.3.1 已发布，引入了针对 Node.js 和包管理器管理的新功能，修复了 TanStack Start 的问题，并进行了性能优化。它是一个统一的、开源的 Web 开发工具链。
pnpm 12 以 Rust 重写版的形式发布，旨在实现从 pnpm 11 的无缝升级，并展示了令人期待的性能基准。
pnpm 12.0 是用 Rust 重写的包管理器的稳定版本，保持与 pnpm 11 的向后兼容性，同时引入改进，如更快的对等解析和针对循环依赖的确定性锁文件。
由 Gemini Live API 和 LiveKit 驱动的实时翻译应用，为活动提供实时广播翻译，并附有代码和设置说明。
这个实验在一个Reddit风格的论坛上运行了100个LLM人格，展示了涌现的社交动态，如派系和持久的积怨，使用Node.js构建，并使用了OpenRouter的deepseek-chat。
Bookshelf 是一个自托管的电子书库，使用对象存储来管理和阅读 EPUB 和 PDF 文件，支持 Cloudflare R2 和本地存储。