CVE-2026-44024 (fluentd): Fluentd is Vulnerable to Remote Code Execution (RCE) via Arbitrary File Write in `${tag}` Placeholder

JRuby & Rails Compatibility Table - FastRuby.io

Bảng tham chiếu tương thích này liệt kê phiên bản JRuby từ 9.2 đến 10.1, bao gồm mức ngôn ngữ Ruby, phiên bản Java tối thiểu và phiên bản Rails hỗ trợ. JRuby 10 cải thiện thời gian khởi động nhờ AppCDS và Project CRaC, trong khi lợi thế của JRuby so với CRuby MRI bao gồm đa luồng thực sự (không có GVL), truy cập hệ sinh thái JVM và triển khai dưới dạng một artifact duy nhất.

Lập trình viên phát triển ứng dụng Rails cần tham khảo bảng so sánh này để chọn phiên bản JRuby phù hợp với yêu cầu Ruby version, Java cốt lõi và Rails version, giúp tối ưu hiệu năng, tương thích và triển khai nhanh chóng.

CVE-2026-44160 (fluentd): Fluentd is Vulnerable to Denial of Service (DoS) via Gzip Decompression Bomb in `in_http` and `in_forward`

Lỗ hổng CVE-2026-44160 (mức độ cao, CVSS 7.5) trong Fluentd ảnh hưởng đến các plugin in_http và in_forward do không giới hạn kích thước dữ liệu giải nén Gzip, cho phép tấn công DoS thông qua "decompression bomb". Kẻ tấn công có thể gửi payload độc hại khiến Fluentd tiêu tốn hết bộ nhớ, dẫn đến crash toàn bộ hệ thống ghi log. Bản vá đã được cung cấp từ phiên bản Fluentd 1.19.3 trở lên.

Lập trình viên cần đọc bài này để hiểu cách bảo mật plugin HTTP trong Fluentd có thể bị exploit bởi tấn công DoS thông qua gzip decompression, giúp họ cập nhật kiến thức về các lỗ hổng mới để phòng ngừa rủi ro trong ứng dụng của mình.

Text files as a user interface

Using plain text files as a lightweight user interface for CLI programs sits between simple argument-passing and building a full TUI. The approach leverages the $EDITOR environment variable pattern (familiar from git commit, crontab -e, visudo) to let users edit a persistent text file that a script then reads and acts on. Two concrete examples are shown: a Ruby-based image gallery ingestion tool that reads an inbox.txt for metadata, and a yt-dlp wrapper that opens a settings file in Vim pre-populated with available subdirectories as comments. Key advantages include zero UI programming, editor-agnostic design, persistent input history via undo, and reuse of previous settings across runs.

Alchemy 8.3 released

AlchemyCMS 8.3 has been released with a completely redesigned admin dashboard featuring configurable, lazy-loaded widgets. New wildcard URL support allows dynamic content routing via URL pattern matching. The release also replaces the custom select web component with Tom Select (removing a jQuery dependency), updates TinyMCE to 8.6.0, adds automatic element cache invalidation on related object changes, and includes several developer ergonomics improvements. Breaking changes include removal of the AlchemyHTMLElement base class and soft-removal of Ruby 3.2 from the test matrix. Upgrading requires bumping the gem version and running the built-in upgrader.

How Ruby Itself Uses Dependabot: A Look Behind MRI’s Dependency Management

MRI (Ruby's interpreter) sử dụng Dependabot để tự động cập nhật dependencies trên ba hệ sinh thái: GitHub Actions (hàng ngày), Rust/Cargo cho YJIT/ZJIT (hàng tháng), và vcpkg cho dependencies Windows (hàng ngày). Quá trình này loại trừ đường dẫn MMTk garbage collector khỏi cập nhật tự động, đồng thời cung cấp hướng dẫn về tần suất cập nhật, nhóm PRs và quản lý dependencies một cách có chủ đích.

Lập trình viên Ruby nên đọc bài này để hiểu cách Ruby MRI tự động hóa quản lý phụ thuộc một cách hiệu quả, từ đó học cách tối ưu hóa các chiến lược bảo trì và cập nhật phụ thuộc trong dự án của mình.

Design Patterns, the Ruby Way (Part 1): Why Ruby Changes the Conversation

Design patterns from the Gang of Four still matter in Ruby, but Ruby's language features change how they're implemented. Duck typing, blocks, modules, and metaprogramming compress many classic patterns into simpler, more idiomatic solutions. For example, the Strategy pattern needs no interfaces or abstract classes in Ruby — duck typing handles it naturally. Blocks replace entire class hierarchies for callbacks, and modules encourage composition over inheritance. The Singleton pattern is built into Ruby's standard library. The key insight is that patterns describe design decisions and shared vocabulary, not specific code templates, so understanding them remains valuable even when Ruby makes the implementations much smaller.

RFC 9110 Accept headers, dotenv fixes, and Ractor safety

Tuần này trong Rails có nhiều bản sửa lỗi và cải tiến, bao gồm tính năng tùy chọn tuân thủ RFC 9110 cho Accept header, sửa lỗi dotenv liên quan đến comment nội tuyến và lưu trữ đường dẫn, cùng nhiều cải tiến về Active Record, Ractor safety, và các vấn đề khác.

Lập trình viên Ruby/Rails nên đọc bài này vì những sửa lỗi quan trọng về sécurit hóa HTTP (Accept headers RFC 9110), đọc file `.env` hiệu quả và an toàn đồng thời (Ractor), giúp tránh các bug nguy hiểm trong ứng dụng.