Anthropic's super bug-hunting model Mythos is hardcore good at math, as latest vuln under attack shows

Saved the Order, Lost the Event: Why You Need the Outbox Pattern

Trong hệ thống phân tán, vấn đề "save-then-publish" có thể gây mất sự kiện (event) mà không ghi log lỗi nào. Nguyên nhân kỹ thuật là transaction database và message broker hoạt động độc lập, dẫn đến tình trạng message bị drop dù insert thành công. Hệ quả là các subscriber không nhận được event cần thiết, làm hỏng tính toàn vẹn dữ liệu. Pattern Outbox + Inbox sử dụng cùng một transaction để lưu cả event và dữ liệu vào database, đảm bảo không mất sót message, thực hiện hiệu quả với Postgres và Node.js.

Bài này giải thích cách tránh mất sự kiện khi lưu trữ dữ liệu bằng pattern Outbox trong Postgres và Node.js.

Git 3.0's upcoming SHA-256 default will be a costly mistake

Git 3.0 đang chuẩn bị chuyển sang sử dụng SHA-256 làm thuật toán hash mặc định, gây ra gánh nặng chi phí khổng lồ cho toàn hệ sinh thái Git. Việc thay đổi này sẽ buộc tất cả các repository phải xử lý file lớn hơn đáng kể so với SHA-1 hiện tại, gây ra vấn đề về hiệu năng và lưu trữ. Nguyên nhân kỹ thuật nằm ở việc SHA-256 tạo ra hash 256-bit dài gấp đôi SHA-1, làm tăng kích thước object store và network traffic. Hệ quả sẽ là các dự án lớn phải đối mặt với thời gian clone/push/pull lâu hơn và không gian lưu trữ tăng gấp đôi. Điều đáng học hỏi là các quyết định thay đổi core technical specification cần cân nhắc kỹ lưỡng ảnh hưởng toàn hệ thống, không chỉ tập trung vào tính bảo mật mà còn xem xét đến hiệu năng và trải nghiệm người dùng.

Đọc bài này để hiểu về những tác động tiêu cực tiềm ẩn khi Git chuyển sang thuật toán SHA-256 mặc định.

pnpm 12.8.2

pnpm 12.8.2 giải quyết lỗi khởi động crash trên hệ thống Linux ppc64le và lỗi UnknownIssuer trên hệ thống thiếu certificate CA. Phiên bản này khắc phục vấn đề pnpm run tự động install trước mỗi script trên CI khi autoDedupe được bật. Tốc độ resolution và hoisted installs trên macOS được cải thiện đáng kể. Bản vá này mang lại hiệu năng tốt hơn và khắc phục các vấn đề nền tảng ảnh hưởng đến trải nghiệm người dùng.

Bài viết này giúp lập trình viên biết các cải tiến quan trọng trong pnpm 12.8.2 để tối ưu hóa trải nghiệm phát triển trên nhiều nền tảng khác nhau.

How ORMs Still Let SQL Injection Through (and How to Close the Gaps)

Nhiều lập trình viên lầm tưởng rằng khi sử dụng ORM, nguy cơ SQL injection sẽ được loại bỏ …

Optimizing objects with null prototypes

V8 engine gặp vấn đề khi đối tượng với __proto__: null bị mắc kẹt ở dictionary mode. …

I got targeted: Trying to get your credentials via a git post-checkout hook

Tác giả trở thành nạn nhân của một cuộc tấn công nhằm đánh cắp thông tin đăng nhập do vai trò trong lĩnh vực open source và tư vấn. Kẻ tấn công đã lợi dụng git post-checkout hook - một tính năng cho phép thực thi script sau khi chuyển nhánh repository - để cài đặt mã độc. Khi tác giả chạy checkout command, hook đã được kích hoạt và cố gắng truyền thông tin về file config sang máy chủ điều khiển. Sự việc này minh họa rõ ràng tầm quan trọng của việc không sử dụng hook tự động từ các repository không đáng tin cậy và luôn kiểm tra kỹ nội dung các file hook trước khi kích hoạt.

Bài viết chia sẻ kinh nghiệm thực tế về cách kẻ tấn công đánh cắp thông tin đăng nhập qua git post-checkout hook giúp lập trình viên phòng thủ hiệu quả.

DeepSeek-Reasonix: How a poisoned config can hijack an AI coding agent

Nhóm Threat Research của GitLab phát hiện ra lỗi ConfigPoisoning trong DeepSeek-Reasonix, cho phép kẻ tấn công thực thi mã độc khi lập trình viên xem diff của file. Lỗi này xuất phát từ việc hệ thống không xác thực đúng cách file cấu hình (.deepseek-reasonix/config.toml) chứa mã độc. Khi sử dụng tính năng "AI Coding Assistant" để xem diff, hệ thống sẽ thực thi mã được nhúng trong file cấu hình. Đáng lưu ý là lỗi này tận dụng tính năng tự động hóa của AI coding agent mà không cần thay đổi code source.

Bài viết cảnh báo nguy cơ ConfigPoisoning trong DeepSeek-Reasonix có thể khiến lập trình viên vô tình thực thi mã độc khi xem diff file.

Node.js — Node.js 22.23.3 (LTS)

Node.js 22.23.3 là bản LTS mới nhất, tập trung vào ổn định và bảo mật cho production environment. Bản vá này khắc phục 3 vulnerability nghiêm trọng liên quan đến V8 engine và OpenSSL. Node.js 22.23.3 tối ưu hóa bộ nhớ với Garbage Collector mới, giảm 15% memory usage trong trường hợp xử lý payload lớn. Lập trình viên nên cập nhật ngay vì đây là bản LTS được hỗ trợ đến tháng 4 năm 2026. Cải tiến trong phiên bản này bao gồm cải thiện performance của streams API và fix lỗi trong zlib module.

Node.js 22.23.3 LTS mang đến những cải tiến quan trọng về hiệu năng và bảo mật cho ứng dụng JavaScript của bạn.