Three malicious npm packages — postcss-minify-selector-parser, postcss-minify-selector, and aes-decode-runner-pro — have been impersonating the legitimate PostCSS selector parser library and silently installing a Windows RAT on developer machines. Published by a single npm account, the packages use AES-256-GCM encrypted payloads, download a second-stage ZIP from a fake NVIDIA domain, and deploy Nuitka-compiled Python modules that establish persistence via a Windows registry run key and connect to a C2 server. A dedicated module targets Chrome saved credentials using Windows DPAPI. Detection steps include checking npm dependency trees, scanning %TEMP% for specific directories and files, inspecting the registry for a 'csshost' entry, and monitoring network traffic to a known C2 IP. Remediation requires isolating the machine, removing the packages, deleting artifacts, rotating all Chrome-stored credentials, and notifying security teams on corporate devices.
Nguồn: https://latesthackingnews.com/2026/06/24/malicious-npm-packages-postcss-rat-detection. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.

Node.js 26.4 bổ sung hỗ trợ thử nghiệm package maps (giải quyết package từ file JSON tĩnh thay vì duyệt node_modules) và bắt đầu giới thiệu subsystem node:vfs của Matteo Collina. Bản tin cũng đề cập đến phân tích về hạn chế bảo mật của npm v12 khi chặn script cài đặt mặc định, bài viết suy đoán về npm chạy trên AT Protocol, TypeScript 7.0 RC với compiler Go nhanh gấp 10 lần, và framework Eve của Vercel cho xây dựng AI agent theo cấu trúc Next.js.
Lập trình viên nên đọc để cập nhật về Node.js 26.4, đặc biệt là tính năng mới về package maps (tối ưu hóa giải quyết phụ thuộc từ JSON thay vì khám phá node_modules) và vfs subsystem của Matteo Collina, giúp cải thiện hiệu suất và quản lý dự án.

Thư viện Prop For That của Adam Argyle cung cấp các CSS custom properties động, cho phép truy cập vào những thuộc tính CSS thông thường không thể truy xuất như vị trí con trỏ, tốc độ cuộn, trạng thái form hay thời gian hiện tại. Nhà phát triển chỉ cần thêm thuộc tính data vào HTML, sau đó sử dụng trực tiếp các biến CSS này trong stylesheet mà không cần viết JavaScript.
Lập trình viên nên đọc bài này để khám phá cách Prop For That giúp tối ưu hóa giao diện người dùng bằng cách kết nối trực tiếp CSS với dữ liệu động từ HTML mà không cần JavaScript, mở rộng khả năng tùy biến UI một cách đơn giản và hiệu quả.
Kỹ thuật CSS thuần tạo thanh trượt (range slider) dạng lượn sóng bằng phần tử HTML input gốc, sử dụng các tính năng hiện đại như border-shape, Scroll-Driven Animations và @property mà không cần JavaScript hay HTML bổ sung. Chỉ hoạt động trên Chrome, cho phép tùy biến dễ dàng qua CSS variables và có công cụ hỗ trợ tạo đường lượn sóng.
Lập trình viên nên đọc bài này để khám phá cách tạo hiệu ứng slider dải nhập gợn sóng chỉ bằng CSS hiện đại, tiết kiệm thời gian và không cần JavaScript, giúp tối ưu hóa hiệu suất và mở rộng khả năng thiết kế UI cho ứng dụng Chrome.
Vào ngày 24/6/2026, tin tặc đã phát tán phiên bản độc hại của 20 package npm thuộc hệ sinh thái Leo Platform chỉ trong vòng chưa đầy 3 giây, sử dụng toolkit 'Phantom Gyp' tương tự chiến dịch Miasma trước đó. Phần mềm độc hại đánh cắp bí mật từ GitHub Actions, kho lưu trữ đa đám mây (AWS, GCP, Azure), registry package, HashiCorp Vault, Kubernetes và trình quản lý mật khẩu, sau đó exfiltrate qua token GitHub của nạn nhân để tránh bị phát hiện. Nó còn hoạt động như một worm trong chuỗi cung ứng, tự động phát tán phiên bản độc hại các package mà nạn nhân có quyền publish bằng cách vượt qua xác thực 2FA.
Lập trình viên nên đọc bài này để hiểu cách một cuộc tấn công supply chain mới sử dụng các kỹ thuật phức tạp—như obfuscation và evasion Bun—để tránh phát hiện và khai thác quyền truy cập vào các hệ thống quan trọng từ các gói npm phổ biến, từ đó cảnh báo về rủi ro khi sử dụng các thư viện công cộng mà không kiểm tra nguồn gốc và bảo mật.
Bài viết bàn về sự thay đổi trong phương pháp CSS từ các quy ước nghiêm ngặt như BEM, SMACSS, ITCSS sang cách tiếp cận linh hoạt hơn nhờ các tính năng hiện đại như cascade layers, @scope, @container và :where. Tác giả chia sẻ sở thích cá nhân khi viết hoa tên class component (ví dụ: class="Post") để tăng tính rõ ràng, đồng thời nhắc nhở về hạn chế của việc phụ thuộc quá nhiều vào class selectors theo đặc tả CSS Level 1.
Bạn nên đọc bài này để hiểu cách CSS đã thay đổi từ quy tắc cứng nhắc truyền thống sang sự linh hoạt mới mẻ nhờ công nghệ hiện đại, giúp bạn tối ưu hóa cách viết mã CSS hiệu quả hơn mà không cần lo lắng về các quy ước cũ.
CSS Grid Lanes giới thiệu hệ thống layout mới với hai trục căn chỉnh: trục grid (xếp lane) và trục xếp chồng (các item nằm trong lane). Căn chỉnh theo trục grid tương tự CSS Grid tiêu chuẩn (dùng justify-*/align-* cho chiều ngang/dọc), còn căn chỉnh trục xếp chồng (như align-items: stretch) cho phép các item lấp đầy khoảng trống. Tính năng này đang được triển khai trên Chromium và Safari, với hỗ trợ gần hoàn thiện trên Chromium.
Lập trình viên nên đọc bài này để hiểu cách tối ưu hóa bố cục grid với các tính năng mới như align-items trên trục xếp chồng và cách điều khiển align-content cho không gian dư thừa, giúp thiết kế UI đẹp hơn và hiệu suất cao hơn trong các trình duyệt hiện đại.
Node.js 24.18.0 LTS (tên mã 'Krypton') bổ sung nhiều cải tiến quan trọng như cập nhật chứng chỉ gốc lên NSS 3.123.1, tối ưu hóa socket HTTP idle, tăng kích thước mặc định Buffer.poolSize lên 64 KiB, bổ sung thuật toán TurboSHAKE, KangarooTwelve cho Web Cryptography, hỗ trợ mã trạng thái HTTP 1xx tùy ý, và cải thiện bảo mật crypto (chống tấn công prototype pollution, tương thích BoringSSL, hỗ trợ ML-DSA/ML-KEM JWK). Ngoài ra, phiên bản này nâng cấp npm lên 11.16.0, SQLite lên 3.53.1 cùng nhiều sửa lỗi khác.
Lập trình viên nên đọc bài này vì phiên bản Node.js mới 24.18.0 LTS mang đến những cải tiến an toàn và hiệu năng quan trọng như hỗ trợ mã hóa WebCrypto mới, nâng cấp bảo mật và cải thiện trải nghiệm phát triển với các tính năng như kiểm soát chính xác độ phủ code và tối ưu hóa stream.
CSS Grid Lanes có thể vi phạm tiêu chuẩn WCAG 2.4.3 do sắp xếp phần tử dựa trên chiều cao cột thay vì thứ tự DOM, ảnh hưởng đến trải nghiệm người dùng bàn phím và trình đọc màn hình. Thuộc tính flow-tolerance có thể giảm thiểu nhưng không khắc phục hoàn toàn, trong khi thuộc tính sắp tới reading-flow vẫn chưa được hỗ trợ đầy đủ trên tất cả trình duyệt. Khuyến nghị nên kiểm tra bằng bàn phím/trình đọc màn hình, tăng flow-tolerance hoặc quay lại sử dụng CSS Grid thông thường khi cần.
Lập trình viên nên đọc bài để hiểu cách giải quyết vấn đề không tuân thủ WCAG khi sử dụng CSS Grid với các lanes (dòng cột) gây mất trật tự đọc và tương tác không tốt cho người dùng keyboard/screen reader.