Issue #631: 37 CLI best practices for Node devs — Node Weekly

CVE-2026-48931 Shouldn't Have Been a CVE

Matteo Collina, maintainer của HTTP stack và thư viện undici trong Node.js, cho rằng CVE-2026-48931 (vấn đề poisoning hàng đợi response HTTP/1.1 trong http.Agent) không đáng được xếp vào danh mục CVE vì đây là đặc tính vốn có của giao thức HTTP/1.1, không phải lỗi riêng của Node.js. Bản vá ban đầu gây lỗi giả (ERR_STREAM_PREMATURE_CLOSE) do listener 'data' công khai, ảnh hưởng tới nhiều dự án như Google API, Firebase CLI, Backstage. Sau đó, lỗi được khắc phục bằng cách thay thế bằng hook nội bộ onread. Ông cũng cảnh báo về tình trạng báo cáo bảo mật do AI tạo tràn lan, dẫn đến phân loại sai CVEs.

Bạn nên đọc bài này để hiểu cách phân biệt giữa các lỗ hổng thực sự là Node.js hay là cơ chế HTTP/1.1 chung, tránh rơi vào tình trạng đánh nhầm các cải thiện kỹ thuật thành CVE khi chúng không ảnh hưởng riêng biệt đến dự án của mình.

Common DOM Manipulation Mistakes Beginners Make

Bài viết hướng dẫn người mới về 7 lỗi phổ biến khi thao tác DOM trong JavaScript, bao gồm chọn sai phần tử, chạy script trước khi HTML tải xong, quên gán event listeners, lạm dụng innerHTML, nhầm lẫn giữa querySelector và querySelectorAll, thay đổi style inline thay vì dùng class CSS, và cập nhật DOM quá nhiều gây hại hiệu suất.

Bạn nên đọc bài này để tránh những lỗi cơ bản gây ra lỗi logic, hiệu suất kém và code khó debug trong khi làm việc với DOM trong JavaScript.

Electron 43

Electron 43 vừa ra mắt với Chromium 150.0.7871.46, Node.js v24.17.0 và V8 15.0, cải thiện hiệu suất khởi động ứng dụng nhờ snapshot và bytecode caching, hỗ trợ cửa sổ không viền có góc bo tròn trên Linux, API quản lý thông báo mới trên macOS, và tải xuống mặc định vào thư mục Downloads. Phiên bản này cũng đánh dấu chấm dứt hỗ trợ binary 32-bit (Windows x86, Linux ARM) và có một số thay đổi phá vỡ (breaking changes) như chuẩn hóa pixel nativeImage sang SRGB.

Lập trình viên cần đọc bài này để cập nhật kiến thức về các cải tiến hiệu suất khởi động ứng dụng và tính năng mới như cửa sổ không khung trên Linux, quản lý thông báo macOS, và các thay đổi quan trọng về API như loại bỏ showHiddenFiles trên Linux để tránh rủi ro về tính bảo mật và tương thích.

How to Defend Your JavaScript App Against Unsafe Data with TypeScript Guard Utilities

TypeScript không thể ngăn chặn hoàn toàn lỗi dữ liệu runtime từ API, local storage hay nguồn bên ngoài, dù đã kiểm tra kiểu lúc biên dịch. Bài viết giới thiệu bốn hàm tiện ích nhẹ là safeArray, safeString, safeNumber và safeObject để xác thực dữ liệu đầu vào, trả về giá trị an toàn thay vì lỗi. Ngoài ra, nó chỉ ra nhược điểm của các phương pháp đơn giản như optional chaining và hướng dẫn triển khai trong React, Express, cùng các best practices như chuẩn hóa dữ liệu tại ranh giới (data boundary) và tách logic xác thực vào module riêng.

Lập trình viên nên đọc bài này để tránh rủi ro khi xử lý dữ liệu từ nguồn ngoài ứng dụng—như API hoặc local storage—với TypeScript, mà không biết chính xác kiểu dữ liệu thực tế, khiến ứng dụng gặp crash hoặc hành vi bất ngờ.

Deno 2.9

Phiên bản Deno 2.9 bổ sung công cụ deno desktop để xây dựng ứng dụng desktop native từ …

Prop For That

Thư viện Prop For That của Adam Argyle cung cấp các CSS custom properties động, cho phép truy cập vào những thuộc tính CSS thông thường không thể truy xuất như vị trí con trỏ, tốc độ cuộn, trạng thái form hay thời gian hiện tại. Nhà phát triển chỉ cần thêm thuộc tính data vào HTML, sau đó sử dụng trực tiếp các biến CSS này trong stylesheet mà không cần viết JavaScript.

Lập trình viên nên đọc bài này để khám phá cách Prop For That giúp tối ưu hóa giao diện người dùng bằng cách kết nối trực tiếp CSS với dữ liệu động từ HTML mà không cần JavaScript, mở rộng khả năng tùy biến UI một cách đơn giản và hiệu quả.

Node.js — Node.js 26.4.0 (Current)

Node.js 26.4.0 bổ sung nhiều tính năng mới như node:vfs (hỗ trợ mount VFS), buffer tùy chỉnh cho readFile(), package maps trong module loader, nén chứng chỉ TLS, điều khiển TCP keepalive (TCP_KEEPINTVL/TCP_KEEPCNT) cùng cải tiến xử lý kết nối HTTP. Bản phát hành cũng sửa nhiều lỗi trong streams, crypto, QUIC, SQLite, debugger và bộ theo dõi file, đồng thời cập nhật dependencies (npm 11.17.0, libffi 3.6.0, SQLite 3.53.2, ngtcp2 1.23.0) và tối ưu hiệu suất cho buffers, streams.

Lập trình viên nên đọc bài này để cập nhật về các cải tiến mới trong Node.js 26.4.0, đặc biệt là các tính năng như VFS (Virtual File System) tích hợp, tối ưu hóa TCP keepalive và cập nhật các module quan trọng như npm và libffi, giúp nâng cao hiệu suất và độ ổn định cho các ứng dụng Node.js hiện đại.