Google paid $90,000 for this bug, then waited two months to fix it

Push attribution for commits in limited public preview

GitHub hiện ghi nhận người dùng được xác thực đã đẩy (push) mỗi commit, hiển thị danh tính người đẩy được xác thực trong UI và API cùng với các trường tác giả (author) và người commit (committer) hiện có. Các trường tác giả và người commit hiện tại chỉ là chuỗi do client cung cấp, bất kỳ ai có quyền ghi đều có thể giả mạo. Một quy tắc mới cho repository "Committer must match pusher" sẽ chặn các lần đẩy mà metadata của người commit không khớp với email được xác thực của người đẩy, đóng con đường giả mạo danh tính commit. Tính năng này hiện đang có sẵn trong bản preview công khai hạn chế cho khách hàng GitHub Enterprise qua yêu cầu của team tài khoản.

Tính năng xác thực người đẩy commit của GitHub giúp ngăn chặn giả mạo danh tính người bảo trì repository.

Build and Train a 25M Parameter LLM From Scratch on Your CPU

Bối cảnh: Bạn không cần cụm GPU khổng lồ để học cách AI hiện đại hoạt động. …

A 29MB AI model is the most useful thing I've run on my Raspberry Pi 5, and it doesn't need an AI HAT

Tác giả đã chạy một AI model kích thước chỉ 29MB trên Raspberry Pi 5 mà không cần thiết bị hỗ trợ phần cứng AI HAT. Mô hình này đủ nhỏ để xử lý trực tiếp trên con single-board computer này mà không gặp vấn đề về hiệu năng. Tác giả cho thấy đây là ứng dụng AI hữu ích nhất mà họ từng triển khai trên thiết bị này, chứng tỏ Raspberry Pi 5 có khả năng xử lý AI tốt hơn các thế hệ trước. Điều này mở ra cơ hội cho các dự án AI phân quyền và tiết kiệm chi phí, khi không cần đầu tư vào thiết bị chuyên dụng hay cloud computing.

Bài viết này cho thấy cách chạy AI mô hình nhỏ hiệu quả trên Raspberry Pi 5 mà không cần phần cứng chuyên dụng.

Docker 29.9.0 Security Update: Five Vulnerabilities Fixed

Docker 29.9.0 khắc phục năm lỗ hổng bảo mật ảnh hưởng đến HTTP/2 và hệ thống Windows. Các vấn đề kỹ thuật liên quan đến việc xử lý gói tin và phân quyền trên Docker Engine. Bảo mật kém trong thành phần containerd cho phép tấn cầu privilege escalation, trong khi lỗ hổng khác gây ra memory leak. Bạn nên cập nhật ngay lập tức vì những lỗ hổng này cho phép attacker thực thi code từ xa trên các hệ thống Windows. Cách kiểm tra phiên bản Docker chạy: docker version hoặc kiểm tra ở /usr/bin/docker.

Đây là bài cập nhật bảo mật quan trọng chứa các lỗ hổng nghiêm trọng về HTTP/2 và hệ thống Windows mà lập trình viên cần biết để bảo vệ hệ thống của mình.

Python 3.15

Python 3.15 đã được phát hành đi kèm các cập nhật cho công cụ Ruff, uv và ty. Phiên bản Python mới này tập trung vào tối ưu hóa hiệu suất và cải tiến hệ thống type hinting. Ruff hiện đã hỗ trợ kiểm tra mã nguồn nhanh hơn gấp 20 lần so với các công cụ truyền thống. uv cải thiện tốc độ cài đặt package lên đến 10-100 lần nhờ thuật toán dependency resolution mới. Đáng chú ý nhất là tính năng Type Parameters trong typing module giúp viết code generic mạnh mẽ hơn mà không cần dùng đến thư viện third-party.

Python 3.15 ra kèm cập nhật cho Ruff, uv và ty giúp lập trình viên nắm bắt tính năng mới và công cụ tối ưu.

How to Create System Design Diagrams using Python

Việc tạo hệ thống diagram cho kiến trúc hệ thống là phần quan trọng trong tài liệu kỹ thuật. Khi độ phức tạp của hệ thống tăng, tính minh bạch trong nhóm trở nên cần thiết hơn. Bài viết hướng dẫn sử dụng Python để tự động tạo diagram, giúp tiết kiệm thời gian và đảm bảo tính nhất quán. Công cụ như Graphviz và Mermaid.js được đề xuất để kết hợp với Python cho việc tạo diagram chất lượng cao. Lập trình viên có thể tự động hóa quy trình này, giảm thiểu sai sót khi làm việc với hệ thống phức tạp.

Bài hướng dẫn này giúp lập trình viên tự động tạo sơ đồ thiết kế hệ thống bằng Python để tăng hiệu quả và độ chính xác trong tài liệu kỹ thuật.

How to Add Structured Data (JSON-LD) to a Next.js Site and Validate It

Structured data giúp search engine hiểu rõ nội dung trang web qua JSON-LD format. Trong Next.js, bạn có thể thêm structured data bằng cách sử dụng component Script với type="application/ld+json". Công cụ Google's Rich Results Test cho phép validate structured data trước khi deploy. Việc implement đúng structured data có thể tăng click-through rate (CTR) lên đến 30% trên search results. Các lập trình viên nên cân nhắc implementation structured data early trong development process để tối ưu SEO hiệu quả.

Thêm structured data (JSON-LD) giúp tối ưu hóa hiển thị trên công cụ tìm kiếm và cải thiện SEO hiệu quả cho Next.js site của bạn.

Git 3.0's upcoming SHA-256 default will be a costly mistake

Git 3.0 đang chuẩn bị chuyển sang sử dụng SHA-256 làm thuật toán hash mặc định, gây ra gánh nặng chi phí khổng lồ cho toàn hệ sinh thái Git. Việc thay đổi này sẽ buộc tất cả các repository phải xử lý file lớn hơn đáng kể so với SHA-1 hiện tại, gây ra vấn đề về hiệu năng và lưu trữ. Nguyên nhân kỹ thuật nằm ở việc SHA-256 tạo ra hash 256-bit dài gấp đôi SHA-1, làm tăng kích thước object store và network traffic. Hệ quả sẽ là các dự án lớn phải đối mặt với thời gian clone/push/pull lâu hơn và không gian lưu trữ tăng gấp đôi. Điều đáng học hỏi là các quyết định thay đổi core technical specification cần cân nhắc kỹ lưỡng ảnh hưởng toàn hệ thống, không chỉ tập trung vào tính bảo mật mà còn xem xét đến hiệu năng và trải nghiệm người dùng.

Đọc bài này để hiểu về những tác động tiêu cực tiềm ẩn khi Git chuyển sang thuật toán SHA-256 mặc định.