Latest developer news about npm, summarized in Vietnamese by AI.
Các maintainer dự án open source giờ đây được nâng cấp miễn phí từ gói Team lên gói Business do áp lực ngày càng tăng.
Lập trình viên phát triển mã nguồn mở nên đọc bài này để khám phá cách chuyển đổi từ việc duy trì dự án miễn phí sang mô hình kinh doanh bền vững, giúp họ có thêm nguồn tài nguyên và sự hỗ trợ chuyên nghiệp mà không phải bỏ ra tiền.
AI coding agent có thể vô tình lộ thông tin xác thực trong các cuộc tấn công chuỗi cung ứng, nhưng Docker Sandboxes giúp ngăn chặn điều này bằng cách cách ly các secret khỏi phạm vi truy cập của agent.
Một lập trình viên nên đọc bài này để hiểu cách các coding agent AI có thể lộ thông tin mật trong chuỗi cung ứng và cách Docker Sandbox bảo vệ bí mật khỏi truy cập không an toàn.
Vào ngày 4/8/2026, kẻ tấn công xâm nhập tài khoản GitHub của maintainer, tiêm mã độc Mini Shai-Hulud vào keyv và tám package npm liên quan.
Lập trình viên nên đọc bài này để hiểu cách các cuộc tấn công supply chain trên npm có thể xâm nhập vào dự án của họ thông qua các gói phụ thuộc không an toàn, từ đó nâng cao nhận thức về bảo mật và cách phòng ngừa.
Một dự án học tập gây khó chịu đã thúc đẩy tôi xây dựng công cụ CLI đầu tiên. Sau khi hoàn thành xong dự án, sắp tới hạn nộp, tôi nhận ra cần tối ưu hóa quy trình cuối cùng.
Là một lập trình viên, đọc bài này để hiểu cách chuyển đổi những khó khăn thực tế từ dự án học tập thành động lực sáng tạo và kiến thức về xây dựng công cụ CLI hiệu quả.
Trong thử nghiệm "AI agent permission game" với 40.000 lượt chơi, con người bỏ sót khoảng 1/3 các mối đe dọa khi phê duyệt lệnh cho tác nhân AI, trong khi nhiều lệnh an toàn lại bị chặn nhầm.
Những nghiên cứu này cho thấy những rủi ro từ AI có thể trốn tránh kiểm soát con người, giúp lập trình viên hiểu cách bảo vệ hệ thống và thiết kế hệ thống an toàn hơn trong tương lai.
Bản tin Node Weekly số 636 giới thiệu Node.js 26.7, phiên bản 1.0 của công cụ vlt, cùng những cập nhật mới về dự án Shai-Hulud.
Lập trình viên Node.js nên đọc bài này để cập nhật về phiên bản mới nhất của Node.js (26.7), công cụ vlt (1.0) và dự án Shai-Hulud, giúp tối ưu hóa hiệu suất, bảo mật và phát triển ứng dụng với các công cụ hiện đại mới nhất.
npm sẽ quét malware tự động khi package được publish, thường mất 5 phút (đỉnh điểm có thể tới 15+ phút). Package có thể được publish bình thường, giữ lại review thủ công hoặc chặn dựa trên kết quả quét. Trường contentPolicy mới trong package.json dành cho package "dual-use" (có chức năng bảo mật hợp pháp nhưng dễ nhầm với malware), yêu cầu file DISCLOSURE, 2FA bắt buộc khi publish và metadata này không thể bị gỡ bỏ trong các phiên bản sau.
Lập trình viên nên đọc bài này để hiểu cách npm bảo vệ an ninh dự án của mình bằng cách kiểm tra malware ngay khi đăng tải, đồng thời biết cách quản lý các gói phần mềm có tính ứng dụng kép (dual-use) để tránh rủi ro về quyền riêng tư và an toàn.
Node.js 24.18.0 LTS (tên mã 'Krypton') bổ sung nhiều cải tiến quan trọng như cập nhật chứng chỉ gốc lên NSS 3.123.1, tối ưu hóa socket HTTP idle, tăng kích thước mặc định Buffer.poolSize lên 64 KiB, bổ sung thuật toán TurboSHAKE, KangarooTwelve cho Web Cryptography, hỗ trợ mã trạng thái HTTP 1xx tùy ý, và cải thiện bảo mật crypto (chống tấn công prototype pollution, tương thích BoringSSL, hỗ trợ ML-DSA/ML-KEM JWK). Ngoài ra, phiên bản này nâng cấp npm lên 11.16.0, SQLite lên 3.53.1 cùng nhiều sửa lỗi khác.
Lập trình viên nên đọc bài này vì phiên bản Node.js mới 24.18.0 LTS mang đến những cải tiến an toàn và hiệu năng quan trọng như hỗ trợ mã hóa WebCrypto mới, nâng cấp bảo mật và cải thiện trải nghiệm phát triển với các tính năng như kiểm soát chính xác độ phủ code và tối ưu hóa stream.
Bài viết tổng hợp những tin tức quan trọng nhất về JavaScript trong tuần: các bản phát hành mới, công cụ AI, dự án mã nguồn mở, cập nhật trình duyệt và tin tức dành cho nhà phát triển.
Nếu bạn đang tìm cách nâng cao kiến thức JavaScript hiện đại và mở rộng kỹ năng trong môi trường phát triển đa dạng, Friday Links sẽ đưa bạn đến những thông tin mới nhất về công cụ AI, dự án open-source và cập nhật từ các nền tảng web, giúp bạn tiếp cận xu hướng và giải quyết vấn đề hiệu quả hơn.
Ra mắt CodePen 2.0 là thành tựu sự nghiệp cá nhân lớn nhất của tác giả, tốn nhiều công sức hơn cả việc tạo ra phiên bản đầu tiên. Chi tiết về quá trình phát triển sẽ được chia sẻ trong podcast "Why 2.0?" hoặc bài viết "What's…".
Lập trình viên nên đọc để khám phá cách CodePen 2.0 nâng cao hiệu suất, tính năng cộng tác và trải nghiệm người dùng, giúp bạn học cách tối ưu hóa dự án và ứng dụng web hiệu quả hơn.
npm sắp bổ sung tính năng quét malware tự động cho các package ngay khi publish.
Lập trình viên nên đọc bài này để hiểu cách npm đã nâng cấp an toàn cho dự án của mình bằng cách kiểm tra các gói npm trước khi công bố, giảm thiểu rủi ro từ các phần mềm độc hại trong môi trường phát triển.
nvm sẽ xóa mất các CLI toàn cục đã cài đặt mỗi khi bạn chuyển đổi phiên bản Node.js. Tác giả đã khắc phục vấn đề này bằng cách tạo ra một giải pháp thay thế.
Lập trình viên nên đọc bài này để tìm cách tránh mất các lệnh CLI toàn cầu quan trọng khi đổi phiên bản Node.js với NVM mà không phải mất công thiết lập lại mỗi lần.
Trang web giả mạo corepack.org đang mạo danh công cụ Node.js, phân phối phần mềm đánh cắp thông tin (infostealer) và proxyware cho nhà phát triển khi họ tải xuống.
Lập trình viên nên đọc bài này để tránh bị lừa vào các ứng dụng giả mạo như Corepack, gây nguy cơ trộm thông tin cá nhân và dữ liệu dự án của mình.
Tên package trong Django, SDK đám mây và 1.999 bài nộp bài tập.
Lập trình viên nên đọc bài này để hiểu cách chọn và quản lý các prefix tên gói (package name prefixes) trong các dự án lớn, từ việc tránh xung đột tên gói cho đến tối ưu hóa việc phát triển và chia sẻ code trong cộng đồng phần mềm.
Vào ngày 24/6/2026, tin tặc đã phát tán phiên bản độc hại của 20 package npm thuộc hệ sinh thái Leo Platform chỉ trong vòng chưa đầy 3 giây, sử dụng toolkit 'Phantom Gyp' tương tự chiến dịch Miasma trước đó. Phần mềm độc hại đánh cắp bí mật từ GitHub Actions, kho lưu trữ đa đám mây (AWS, GCP, Azure), registry package, HashiCorp Vault, Kubernetes và trình quản lý mật khẩu, sau đó exfiltrate qua token GitHub của nạn nhân để tránh bị phát hiện. Nó còn hoạt động như một worm trong chuỗi cung ứng, tự động phát tán phiên bản độc hại các package mà nạn nhân có quyền publish bằng cách vượt qua xác thực 2FA.
Lập trình viên nên đọc bài này để hiểu cách một cuộc tấn công supply chain mới sử dụng các kỹ thuật phức tạp—như obfuscation và evasion Bun—để tránh phát hiện và khai thác quyền truy cập vào các hệ thống quan trọng từ các gói npm phổ biến, từ đó cảnh báo về rủi ro khi sử dụng các thư viện công cộng mà không kiểm tra nguồn gốc và bảo mật.
Tác giả đã sử dụng AI agents để xây dựng lại thư viện npm diff bằng ngôn ngữ C và WebAssembly, giúp so sánh 300.000 từ chỉ trong 147 ms.
Lập trình viên nên đọc bài này để hiểu cách AI giúp tối ưu hóa lại phần mềm từ cơ sở dữ liệu lớn bằng cách chuyển đổi thành các ngôn ngữ thực thi nhanh chóng như C và WebAssembly, chứng minh cách vượt qua giới hạn truyền thống của hiệu suất trong các dự án mở rộng.
Vào ngày 14/7/2026, ba package npm (@asyncapi/generator@3.3.1, @asyncapi/generator-helpers@1.1.1, @asyncapi/generator-components@0.7.1) bị tấn công, chứa mã độc ẩn dưới dạng dropper, kích hoạt khi package được tải chứ không phải lúc cài đặt. Kẻ tấn công lợi dụng quyền truy cập nhánh next trong GitHub Actions để đẩy mã độc thông qua quy trình CI/CD hợp pháp, tạo ra chứng chỉ provenance OIDC hợp lệ.
Lập trình viên nên đọc bài này để hiểu cách tấn công CI/CD lây nhiễm thông qua quyền truy cập vào nhánh tiếp theo của dự án, khiến các package bị nhiễm malware vẫn được công bố hợp pháp trên npm mà không cần sử dụng token nhầm.
Ant là runtime JavaScript nhẹ mới, chạy trên engine riêng Ant Silver (không dựa trên V8, JSC hay SpiderMonkey), chỉ nặng 9.1 MB, hỗ trợ npm và TypeScript native, khởi động lạnh 5.4 ms. Tính năng nổi bật gồm sandbox cô lập bằng KVM/Hypervisor.framework, hỗ trợ WebAssembly, tương thích API Node, tuân thủ WinterTC, trình cài đặt gói nhanh gấp 40 lần npm, và registry riêng ants.land tương thích giao thức npm.
Là một lập trình viên Node.js hoặc JavaScript, bạn nên đọc bài này để khám phá một giải pháp độc lập, hiệu suất cao và nhanh chóng hơn Node.js truyền thống, đặc biệt khi cần tối ưu hóa ứng dụng với công nghệ VM-isolated, WASM và tốc độ cài đặt package đáng kể.
Phiên bản 8.14.0 của gói npm jscrambler (phát hành 11/7/2026) chứa mã độc trong hook preinstall, tải xuống và thực thi file binary đa nền tảng (Linux/Windows/macOS) nhằm đánh cắp thông tin đăng nhập và ví tiền điện tử. Kích thước gói tăng đột biến từ 37,8 KB lên 7,9 MB do ẩn chứa 3 file thực thi nén gzip. Người dùng đã cài đặt phiên bản này cần coi máy bị xâm nhập, hạ xuống 8.13.0, đổi mật khẩu và kiểm tra tiện ích ví tiền.
Lập trình viên nên đọc bài này để cảnh giác về nguy cơ phishing npm và cách bảo vệ dự án của mình khỏi các gói npm bị lừa đảo, đặc biệt khi sử dụng các thư viện có kích thước bất thường hoặc thay đổi đột ngột trong phiên bản mới.
Phiên bản pnpm 11.10 bổ sung tính năng _auth ràng buộc credential vào host URL, ngăn chặn việc chuyển hướng token tới registry độc hại. Bản cập nhật cũng khắc phục lỗi hồi quy từ tháng 6 liên quan đến biến môi trường trong registry private, đồng thời tăng cường bảo mật cho pnpm deploy và pnpm pack-app cùng nhiều cải tiến khác. Ngoài ra, người dùng có thể trải nghiệm pnpm v12 (viết bằng Rust) thông qua lệnh pnpm self-update next-12.
Lập trình viên nên đọc vì pnpm 11.10 nâng cấp bảo mật và hiệu suất bằng cách khóa xác thực đăng nhập registry theo URL, khắc phục lỗi bảo mật và hiệu suất trong các dự án sử dụng registry riêng, đồng thời giới thiệu tính năng chuẩn bị cho phiên bản Rust (v12) với tốc độ cao hơn.
Swagger Codegen có thể tạo ra một package NPM từ file Swagger JSON của API, cung cấp cho nhà phát triển frontend các phương thức đã định kiểu cho mọi endpoint mà không cần dùng Axios hay định nghĩa kiểu thủ công. Quá trình này yêu cầu Java, chạy lệnh CLI trỏ đến URL swagger.json, sau đó đóng gói output thành tarball có thể cài đặt qua npm, giúp đồng bộ hợp đồng hình dạng dữ liệu giữa backend và frontend.
Lập trình viên frontend sẽ tiết kiệm thời gian và tránh lỗi khi có các định dạng kiểu tự động từ Swagger Codegen, giúp đồng bộ hóa API và ứng dụng mà không cần phụ thuộc vào Axios hoặc định nghĩa thủ công.
npm tạm khóa tài khoản "high-impact" (quản lý package có 1M+ lượt tải/tuần hoặc 500+ phụ thuộc) trong 72 giờ khi phát hiện thay đổi nhạy cảm như email hay sử dụng mã khôi phục 2FA, chặn publish/token/org nhưng vẫn cho phép cài đặt. Động thái nhằm ngăn tấn công chuỗi cung ứng như axios, bổ sung cùng trusted publishing (OIDC) và staged publishing (yêu cầu review CI). Maintainer nên kiểm tra email, dùng FIDO2, bật trusted publishing (chế độ stage-only) và vô hiệu hóa token lâu dài.
Lập trình viên quản lý các gói npm phổ biến hoặc phụ thuộc vào nhiều dự án lớn nên hiểu rõ cách bảo mật mới của npm để tránh bị đóng băng tài khoản và bảo vệ hệ thống phát hành cũng như quyền truy cập trong trường hợp thay đổi nhạy cảm.
Node.js 26.4 bổ sung hỗ trợ thử nghiệm package maps (giải quyết package từ file JSON tĩnh thay vì duyệt node_modules) và bắt đầu giới thiệu subsystem node:vfs của Matteo Collina. Bản tin cũng đề cập đến phân tích về hạn chế bảo mật của npm v12 khi chặn script cài đặt mặc định, bài viết suy đoán về npm chạy trên AT Protocol, TypeScript 7.0 RC với compiler Go nhanh gấp 10 lần, và framework Eve của Vercel cho xây dựng AI agent theo cấu trúc Next.js.
Lập trình viên nên đọc để cập nhật về Node.js 26.4, đặc biệt là tính năng mới về package maps (tối ưu hóa giải quyết phụ thuộc từ JSON thay vì khám phá node_modules) và vfs subsystem của Matteo Collina, giúp cải thiện hiệu suất và quản lý dự án.
GitHub đã tăng cường bảo mật cho npm và GitHub Actions từ tháng 3 đến tháng 7 năm 2026 bằng cách thay đổi các thiết lập mặc định nhằm chống lại các cuộc tấn công chuỗi cung ứng, dù gây ra tranh luận về việc trì hoãn so với ký số.
Một lập trình viên nên đọc bài này để hiểu cách GitHub cứng hóa các mặc định của npm và Actions để bảo vệ dự án khỏi các cuộc tấn công chuỗi cung ứng, giúp bạn cập nhật kiến thức về các biện pháp bảo mật mới và cách điều chỉnh chúng trong dự án của mình.
Sonatype phát hiện chiến dịch "Flooding Dropper" tấn công npm bằng hàng loạt package độc hại, thể hiện xu hướng tự động hóa, sử dụng tài khoản dùng một lần và gia tăng áp lực cho các nhà phòng thủ.
Đọc bài này để hiểu cách các hacker tự động hóa tấn công thông qua các gói npm giả mạo, làm hỏng hệ thống phát hành và đe dọa tính toàn vẹn của dự án công nghệ trên toàn cầu.
Phát hiện việc gỡ bỏ cài đặt npm cooldown (min-release-age) trên máy trạm nhà phát triển thông qua tích hợp CEL 40 dòng trong Elastic Agent.
Lập trình viên cần đọc bài này để hiểu cách phát hiện và theo dõi việc loại bỏ các gói npm bị cooldown (ngăn cấm cập nhật) một cách tự động, giúp bảo vệ dự án khỏi các phiên bản cũ kém an toàn mà không cần phải can thiệp thủ công.
npm giới thiệu tính năng staged publishing cho Node.js, yêu cầu người duy trì phê duyệt trước khi phiên bản package có thể cài đặt được. Các phiên bản sẽ được xếp hàng và phải vượt qua bước xác thực 2FA trước khi phát hành.
Lập trình viên cần đọc để hiểu cách quản lý và bảo mật phiên bản npm mới nhất, từ đó tối ưu hóa quy trình phát triển, tránh rủi ro về tính bảo mật và đảm bảo các phiên bản được kiểm duyệt trước khi được deploy công khai.
Phiên bản 1.0 ổn định của Vlt đã được phát hành cùng với tính năng sẵn sàng sử dụng cho các registry lưu trữ và hệ sinh thái mirror.
Lập trình viên nên đọc bài này để hiểu cách sử dụng VLT 1.0 và các kho lưu trữ máy chủ để tự động hóa quản lý gói phần mềm, tiết kiệm thời gian và tránh rủi ro về sự phụ thuộc vào các nguồn cung cấp bên ngoài.
A self-spreading worm poisoned hundreds of npm packages in hours, slipped past provenance checks, hid its controls on Ethereum, and hunted AI-tool keys.
Upwind identified a malicious release of keyv@6.0.0 that harvested AWS, GitHub, and npm credentials via a hidden preinstall script. With 154 million weekly downloads, the compromise had ecosystem-wide blast radius.
Cuộc tấn công supply-chain quy mô lớn mang tên ChainDrop đã lây nhiễm hơn 1.300 package npm, với tổng cộng 2 tỷ lượt tải xuống mỗi tháng. Malware này có khả năng tự lan truyền.
Lập trình viên nên đọc bài này để hiểu cách một tấn công chuỗi cung ứng lớn như ChainDrop có thể xâm nhập vào dự án của mình thông qua các gói npm không đáng tin cậy, từ đó biết cách kiểm tra và bảo vệ dự án khỏi các mối đe dọa tương tự trong tương lai.
Một worm (sâu độc hại) mang tên ChainDrop lây nhiễm vào các dự án npm, lợi dụng môi trường CI/CD để thu thập credential (thông tin đăng nhập) và sử dụng Ethereum như dead-drop C2 (cơ chế điều khiển & kiểm soát ẩn) để nhận lệnh.
Lập trình viên cần đọc bài này để hiểu về mối đe dọa mới trong các dự án npm, đặc biệt là cách Bun và CI/CD có thể bị khai thác để trộm thông tin tài khoản Ethereum, giúp bảo mật dự án của bạn tránh bị tấn công từ các worm như ChainDrop.
npm vừa giới hạn quyền của các token truy cập chi tiết (GAT) có thể bỏ qua xác thực hai yếu tố (2FA) khi thực hiện các thao tác nhạy cảm như quản lý tài khoản, tổ chức hay package. Những hành động như tạo/xóa token, thay đổi quyền truy cập package hay thành viên tổ chức nay đều yêu cầu xác thực 2FA tương tác. Token bỏ qua 2FA cũng sẽ mất khả năng publish trực tiếp vào năm 2027, buộc người dùng chuyển sang phương pháp publish tin cậy (OIDC) hoặc publish theo giai đoạn.
Lập trình viên nên đọc bài này để hiểu cách bảo mật npm hiện nay đã cắt giảm quyền truy cập của các token bỏ qua 2FA, từ đó tránh rủi ro mất quyền kiểm soát dự án hoặc tài nguyên npm do token bị lộ.
Trong vài tháng qua, chúng tôi đã triển khai các thay đổi trên npm và GitHub Actions nhằm ngăn chặn các kỹ thuật tấn công chuỗi cung ứng và hạn chế tác động của chúng.
Lập trình viên nên đọc bài này để hiểu cách các công cụ như npm và GitHub Actions đã được cải thiện để bảo vệ dự án khỏi các cuộc tấn công chuỗi cung ứng ngày càng phức tạp và nguy hiểm.
How to protect your npm package from being stolen in a supply chain attack and improve its position in security ratings
Cây phụ thuộc npm (npm dependency trees) thường lớn do nhiều phiên bản khác nhau của cùng một thư viện (như lodash) được cài đặt song song.
Lập trình viên nên đọc bài này để hiểu cách quản lý và tối ưu hóa các dependency lớn trong dự án, tránh tình trạng bloat code và giảm thiểu vấn đề xung đột phiên bản, từ đó cải thiện hiệu suất và bảo mật của ứng dụng.
Bảo vệ dự án full-stack khỏi các cuộc tấn công chuỗi cung ứng NPM bằng các biện pháp bảo mật thực hành và checklist ứng phó sự cố đã được chứng minh.
Lập trình viên nên đọc bài này để hiểu cách phòng ngừa và xử lý các cuộc tấn công từ chuỗi cung ứng NPM, giúp bảo vệ dự án full-stack của mình khỏi các lỗ hổng an ninh nguy hiểm.
Tác giả giờ dùng Windows Sandbox cho công việc thực tế nhờ một file cấu hình đơn giản, biến nó từ môi trường thử nghiệm đơn thuần thành công cụ linh hoạt.
Lập trình viên nên đọc bài này vì Windows Sandbox không chỉ là công cụ thử nghiệm ứng dụng đơn giản, mà còn giúp bảo mật và cách ly môi trường thực tế của dự án, giảm rủi ro từ các lỗi hoặc malware trong quá trình phát triển.
Tạo và xuất bản thư viện TypeScript lên npm với đầu ra đa dạng (ESM, CommonJS), kèm khai báo kiểu (type declarations), cấu hình exports, kiểm thử, phiên bản ngữ nghĩa (semantic versioning) và phương thức xuất bản đáng tin cậy (trusted publishing).
Là người viết mã TypeScript, bạn nên đọc bài này để hiểu cách tối ưu hóa việc đóng gói, phát hành và chia sẻ thư viện npm với các tính năng hiện đại như xuất nhập ESM/CommonJS, định nghĩa kiểu chính xác và bảo mật khi đăng tải lên npm.
I use Claude in a container, but from time to time I need to use more tools when developing some application. Rather than installing them on my computer or in the Claude container, I spin up a new container with the same mounts and install the tools I need there.
Read the news here, practice coding, follow structured courses and train for IELTS on our sibling products — all connected through one 8 Sync account.
The ecosystem home: product overviews, blog and full pricing.
ExploreLearn along a clear roadmap: videos, auto-graded quizzes, certificates and mentors who ship for a living.
View the roadmap1,000+ DSA problems in Vietnamese, auto-graded across 7 languages — many FREE, right in your browser.