TanStack, el conjunto de librerías de código abierto para desarrollo web que impulsa Tanner Linsley, vive su mes más intenso: TanStack Start, su framework full-stack, alcanzó la versión 1.0 estable el 13 de octubre, y TanStack AI llegó a la 1.0 el día 23. El proyecto, con licencia MIT y sin planes de pago, suma ya cerca de 130.000 estrellas en GitHub y unos 74 millones de descargas semanales, según su propia web. Es la base de herramientas muy usadas como TanStack Query y, desde mayo, de las aplicaciones que genera Lovable.
Las claves de TanStack en 20 segundos
- TanStack agrupa librerías de TypeScript para datos, rutas, tablas, formularios e IA, con licencia MIT.
- TanStack Start 1.0 es estable desde el 13 de octubre y se despliega en Cloudflare, Netlify, Vercel o Node.js.
- Una vulnerabilidad XSS crítica obligó en septiembre a actualizar y redesplegar.
La filosofía del proyecto se resume en tres ideas. Buena parte de su lógica es independiente del framework, con adaptadores para React, Vue, Solid, Svelte o Angular, según la librería. Todo está diseñado con tipado fuerte de TypeScript de extremo a extremo. Y casi todas sus piezas siguen un enfoque headless: ofrecen la lógica y los hooks, pero no imponen estilos ni componentes visuales, de modo que cada equipo decide cómo se ve su interfaz.
Las librerías que forman TanStack
TanStack Query, la antigua React Query, es la más conocida, con más de 50.000 estrellas en GitHub. Gestiona el estado asíncrono, la caché y la sincronización de los datos que la aplicación obtiene del servidor. TanStack Table, con unas 28.000 estrellas, sirve para construir tablas y cuadrículas de datos avanzadas sin componentes visuales predefinidos, y en agosto se anunció su versión 9. TanStack Router es un enrutador con tipado completo que también funciona como base de un framework full-stack.
Ese framework es TanStack Start, construido sobre Router, con renderizado en el servidor, streaming y funciones de servidor, y que usa Vite como herramienta de desarrollo. El resto del catálogo cubre necesidades concretas: TanStack Form gestiona formularios con tipado seguro y tiene su versión 2 en fase alfa; TanStack Virtual virtualiza listas muy largas para que solo se pinten los elementos visibles; TanStack DB es un almacén reactivo en el cliente sincronizado con la API; y TanStack AI es un SDK de TypeScript, independiente del proveedor, para streaming de chat, llamadas a herramientas y agentes. Su versión 1.0 tiene las API principales estables, aunque la parte de agentes sigue siendo experimental. Completan la familia piezas más pequeñas como Store, Pacer, para limitar o encolar llamadas, Hotkeys y Charts, que llegó a la 1.0 el 5 de octubre.
TanStack Start y dónde desplegarlo
Para quien administra la infraestructura, lo relevante de TanStack Start es que no ata a un proveedor. La documentación oficial recoge despliegues en Cloudflare Workers, Netlify, Vercel, Render, Railway y Appwrite Sites, además de Node.js, Docker y Bun mediante Nitro, una capa de despliegue independiente del proveedor que el propio proyecto avisa que sigue en desarrollo activo. En Node.js basta con compilar y arrancar el servidor generado con node .output/server/index.mjs, algo que encaja con cualquier contenedor o servidor propio.
Esa portabilidad es parte de lo que lo ha hecho atractivo frente a Next.js, como ya contamos cuando TanStack Start empezaba a abrirse paso como alternativa. El caso más llamativo es el de Lovable, que genera sus apps nuevas con TanStack Start y ha migrado su propia web de Next.js a TanStack Start sobre Cloudflare Workers. Cloudflare, Netlify, Vercel, Render, Railway y Lovable figuran entre los socios principales del proyecto, lo que asegura su financiación pero también conviene tener presente al leer sus anuncios.
Lo que debe vigilar un administrador
El 30 de septiembre el proyecto publicó una actualización de seguridad para CVE-2026-102989, una vulnerabilidad de cross-site scripting reflejado que su autor calificó de crítica. Un atacante sin autenticar podía construir una URL de una función de servidor que devolvía HTML controlado por él desde el dominio de la aplicación, y si un usuario la abría, ejecutaba JavaScript con los permisos de ese usuario. Afecta a las versiones desde la 1.143.12 y se corrige en @tanstack/react-start 1.168.60, @tanstack/solid-start 1.168.57, @tanstack/vue-start 1.168.56 y @tanstack/start-server-core 1.169.39. El fallo lo ayudó a descubrir Lovable.
La advertencia del proyecto es útil más allá de este caso: actualizar las dependencias en local no protege una aplicación ya desplegada. Hay que actualizar también el fichero de bloqueo de dependencias, comprobar que la versión resuelta de start-server-core es la corregida, recompilar y volver a desplegar. Las mitigaciones en el borde, como reglas de un WAF, ayudan mientras tanto, pero no sustituyen al parche. En entornos con muchas aplicaciones pequeñas, como los que generan las plataformas de IA, conviene tener inventariado qué versión de cada librería corre en producción.
Preguntas frecuentes
¿Qué es TanStack?
Una colección de librerías de código abierto con licencia MIT para desarrollo web, con tipado fuerte de TypeScript, enfoque headless y adaptadores para varios frameworks. Su principal impulsor es Tanner Linsley.
¿Qué diferencia hay entre TanStack Router y TanStack Start?
Router es el enrutador con tipado completo. Start es un framework full-stack construido sobre Router que añade renderizado en el servidor, streaming y funciones de servidor.
¿Dónde se puede desplegar TanStack Start?
En Cloudflare Workers, Netlify, Vercel, Render, Railway y Appwrite Sites, y en Node.js, Docker o Bun mediante Nitro.
¿Estoy afectado por CVE-2026-102989?
Si usas TanStack Start desde la versión 1.143.12 sin actualizar. La versión corregida de @tanstack/start-server-core es la 1.169.39, y hay que recompilar y redesplegar.
Fuentes:
