ExploreYC : Your data layer for Y Combinator's startup ecosystem

Mass npm Supply Chain Attack: 20 Leo Platform Packages Compromised

Vào ngày 24/6/2026, tin tặc đã phát tán phiên bản độc hại của 20 package npm thuộc hệ sinh thái Leo Platform chỉ trong vòng chưa đầy 3 giây, sử dụng toolkit 'Phantom Gyp' tương tự chiến dịch Miasma trước đó. Phần mềm độc hại đánh cắp bí mật từ GitHub Actions, kho lưu trữ đa đám mây (AWS, GCP, Azure), registry package, HashiCorp Vault, Kubernetes và trình quản lý mật khẩu, sau đó exfiltrate qua token GitHub của nạn nhân để tránh bị phát hiện. Nó còn hoạt động như một worm trong chuỗi cung ứng, tự động phát tán phiên bản độc hại các package mà nạn nhân có quyền publish bằng cách vượt qua xác thực 2FA.

Lập trình viên nên đọc bài này để hiểu cách một cuộc tấn công supply chain mới sử dụng các kỹ thuật phức tạp—như obfuscation và evasion Bun—để tránh phát hiện và khai thác quyền truy cập vào các hệ thống quan trọng từ các gói npm phổ biến, từ đó cảnh báo về rủi ro khi sử dụng các thư viện công cộng mà không kiểm tra nguồn gốc và bảo mật.

Continuous Development with Claude Code on GitHub

Hướng dẫn từng bước thiết lập phát triển liên tục (continuous development) với Claude GitHub App và Claude Code Actions, cho phép Claude tự động đóng góp tính năng, xem xét pull request dựa trên lệnh @claude. Bài viết bao gồm cài đặt app, cấu hình workflows (claude.yml, claude-code-review.yml), chuyển từ Opus sang Sonnet, kích hoạt Renovate bot, và minh họa toàn bộ quy trình từ tạo issue đến merge code trên dự án Spring Boot REST API. Ngoài ra, bài viết cũng đề cập đến chi phí thực tế khi chạy Claude Code trên nhiều issues.

Lập trình viên nên đọc bài này để khám phá cách tự động hóa phát triển liên tục với AI, từ việc giải quyết bug đến triển khai tính năng mới, giúp tiết kiệm thời gian và nâng cao hiệu suất trong quá trình hợp tác trên GitHub.

Securing CI/CD for an open source project, part 3: Credentials, verification, and what’s next

Bài viết thứ ba trong loạt bài tăng cường CI/CD của Cilium tập trung vào cô lập credential, ký ảnh (image signing) và xác thực chuỗi cung ứng, bao gồm sử dụng Sigstore Cosign, SPDX SBOMs, DCO sign-offs, cũng như liệt kê những hạn chế còn tồn tại như thiếu SLSA provenance hay govulncheck. Ngoài ra, bài viết còn đối chiếu lộ trình bảo mật 2026 của GitHub Actions với các biện pháp hiện tại và kế hoạch tương lai của Cilium.

Lập trình viên cần đọc bài này để hiểu cách bảo mật hóa chi tiết cho quy trình CI/CD của dự án mở nguồn, từ cách quản lý mật khẩu an toàn đến việc xác thực và triển khai các giải pháp hiện đại như OIDC và SBOM, giúp tránh rủi ro từ các lỗ hổng trong chuỗi cung ứng.

Mastering Secure CI/CD for ECS with GitHub Actions

Bài viết hướng dẫn xây dựng quy trình CI/CD bảo mật cho Amazon ECS trên Fargate bằng GitHub Actions, tập trung vào tối ưu vận hành (gộp workflow, dùng commit hash cho tag ảnh, quản lý task definitions/services bằng ecspresso) và tăng cường bảo mật (AssumeRole không dùng key với OpenID Connect, quét lỗ hổng bằng Trivy/Dockle, multi-stage builds). Mục tiêu là giúp người đọc triển khai pipeline hiệu quả và an toàn cho dự án.

Lập trình viên cần đọc bài này để học cách xây dựng và tối ưu hóa pipeline CI/CD an toàn trên ECS với GitHub Actions, từ việc giảm diện tích tấn công cho đến quản lý quyền truy cập và kiểm tra bảo mật tự động.

How I Set Up CI/CD for a Full-Stack App Using GitHub Actions and Shared Hosting

A step-by-step walkthrough of setting up a CI/CD pipeline for a full-stack app (Vue/Vite frontend + Node.js/Express/TypeScript backend + MySQL) deployed to shared hosting via DirectAdmin, CloudLinux, and Node.js Selector. Covers GitHub Actions workflows for both frontend and backend, SSH deployment using rsync, Passenger configuration for the API subdomain, environment variable and secret management, and common troubleshooting scenarios like 404 on page reload, missing modules, and database connection failures.

Manually trigger workflow from non-main branch

When adding a workflow_dispatch trigger to a GitHub Actions workflow on a feature branch, the 'Run workflow' button won't appear in the GitHub UI because it only shows when the trigger exists on the main branch. A workaround is to trigger the workflow manually using GitHub CLI with gh workflow run, specifying the workflow file, the target branch via --ref, and any input values. This approach is arguably more convenient than the web UI even when the button is available.

How to publish to PyPI using GitHub Actions securely

A practical guide to securely publishing Python packages to PyPI using GitHub Actions, covering three key steps: using zizmor to audit and fix workflow security issues (permissions, credential persistence, action pinning), enabling Trusted Publishing to avoid managing API tokens, and requiring manual approval via GitHub environments before any publish workflow runs. Includes tips on Dependabot cooldowns and separating build and publish workflows.