This Week in Package Management: 18 July 2026
2 days ago
- pnpm 11.13 引入了 pnpm change 用于原生 changeset 兼容的发布规划，pnpm team 用于注册表管理，以及 versioning.epics 配置用于版本段对齐。
- Deno 2.9.3 添加了 --no-save、--save-optional 和 --min-dep-age 等标志。
- pixi 0.73.0 支持在环境依赖表中使用 workspace = true，允许集中声明版本。
- uv 0.11.29 为 uv tree 添加了 JSON 输出，并在 pylock.toml 中优先使用本地制品而非 URL。
- Verdaccio 6.8.0 在取消发布和单版本删除时触发通知 webhook，并通过仅暴露有限的用户信息提升了安全性。
- zizmor 1.27 添加了对审计 GitHub 并行步骤模式的实验性支持。
- Rust 1.97.1 是一个补丁版本，向后移植了针对误编译问题的 LLVM 修复。
- Homebrew 6.0.11 合并了 brew vulns 以对已安装的配方进行内置 CVE 扫描。
- Docker Engine 29.6.2 修复了三个与 git 源码检出、BuildKit 崩溃和 LLB 文件操作相关的 CVE。
- sbt 1.12.14 向后移植了针对 Apache Ivy PackagerResolver 中 CVE-2026-26032 的修复。
- 文章涵盖了 crates.io 更新（代码选项卡、GitHub 登录分离、Svelte 迁移）、Composer/Packagist 供应链压力以及 Rust 基金会的 AI 安全工程。
- 论文讨论了使用生成式 AI 进行软件供应链再生、将设置说明武器化以攻击 AI 编码代理，以及对分布式开源漏洞生态系统进行建模。
- Forgejo 16.0 添加了每仓库监视选项、授权集成和多行审查评论。
- Ruby 4.0.6 是一个常规的错误修复版本。