#backend

FFmpeg fixes PixelSmash flaw in widely used video decoder

Lỗ hổng ghi vượt giới hạn heap (CVE-2026-8461) có tên PixelSmash được phát hiện trong bộ giải mã MagicYUV của FFmpeg, ảnh hưởng đến nhiều ứng dụng sử dụng libavcodec như Kodi, OBS Studio, Nextcloud, PhotoPrism, Emby và Jellyfin. FFmpeg 8.1.2 đã vá lỗ hổng này, có thể gây RCE hoặc từ chối dịch vụ tùy thuộc vào điều kiện hệ thống.

Lập trình viên nên đọc bài này vì PixelSmash là lỗ hổng nghiêm trọng trong FFmpeg, có thể dẫn đến tấn công xâm nhập từ xa (RCE) hoặc cản trở hoạt động của ứng dụng sử dụng libavcodec, từ các nền tảng như Kodi đến hệ thống quản lý media như Jellyfin, ảnh hưởng đến cả hệ thống của bạn nếu không được cập nhật.

Announcing DuckDB 1.5.4 Variegata

DuckDB phiên bản 1.5.4 (Variegata) vừa ra mắt với nhiều bản sửa lỗi quan trọng, tối ưu hiệu năng và vá lỗ hổng bảo mật. Phiên bản này cải thiện xử lý JSON, sửa lỗi crash nghiêm trọng như double free trong Arrow GeoArrow CRS, đồng thời bổ sung tùy chọn giao diện dòng lệnh (CLI) dark/light mode. Nhóm phát triển cũng hé lộ kế hoạch phát hành DuckDB 2.0.0 vào mùa thu sắp tới.

Lập trình viên cần đọc bài này để cập nhật về các cải tiến mới trong DuckDB, đặc biệt là các sửa lỗi quan trọng về kết hợp dữ liệu, xử lý JSON, và hiệu suất—điều này sẽ giúp họ tối ưu hóa các ứng dụng xử lý dữ liệu lớn và tăng tính ổn định cho hệ thống.

Hole in widely-used FFmpeg codec could crash media servers or enable RCE

Lỗ hổng tràn bộ nhớ heap (CVE-2026-8461, tên "PixelSmash") trong bộ giải mã MagicYUV của FFmpeg có thể khiến máy chủ media sập hoặc cho phép thực thi mã từ xa (RCE). Các nhà nghiên cứu JFrog đã chứng minh RCE hoàn toàn trên Jellyfin và Nextcloud bằng cách tải lên file AVI 50 KB được tạo tác. FFmpeg được nhúng trong hàng trăm dự án như Kodi, OBS Studio, AWS MediaConvert, nhưng lỗ hổng đã được vá trong phiên bản 8.1.2.

Lập trình viên nên đọc bài này vì PixelSmash là lỗ hổng nghiêm trọng có thể khiến ứng dụng sử dụng FFmpeg bị crash hoặc bị khai thác thành Remote Code Execution (RCE), đe dọa hệ thống media server và các dự án tích hợp FFmpeg trong sản phẩm của mình.

The new database world according to Google: Inexact queries and AI in everything

Google giới thiệu tầm nhìn tương lai về cơ sở dữ liệu với sự tích hợp AI agent và truy vấn không chính xác (inexact queries) thông qua ngôn ngữ tự nhiên, thay vì chỉ SQL truyền thống. Họ đang nhúng các chức năng AI (như AI.IF sử dụng Gemini) trực tiếp vào Google SQL trên các nền tảng Spanner, AlloyDB và BigQuery, đồng thời phát triển "proxy models" để giảm chi phí và độ trễ khi gọi LLM. Trong 3-5 năm tới, người dùng có thể chuyển từ tương tác trực tiếp sang điều phối các agent, thay thế dashboard truyền thống bằng phân tích hội thoại.

Những công nghệ mới từ Google như proxy models và AI tích hợp trực tiếp vào cơ sở dữ liệu sẽ giúp tối ưu hóa hiệu suất và chi phí khi xử lý các truy vấn phức tạp, đồng thời mở ra khả năng tương tác tự nhiên thông qua ngôn ngữ, giúp lập trình viên tìm hiểu cách ứng dụng AI vào hệ thống dữ liệu hiện đại.

Building a Shopping Cart In Nodejs

Bài viết hướng dẫn chi tiết cách xây dựng nền tảng thương mại điện tử sử dụng Node.js làm backend và các framework frontend như Angular, React, Vue.js. Nó bao gồm thiết lập backend, cài đặt packages, cấu hình server, tạo models và routes với MongoDB, kiểm thử routes, cùng tích hợp tính năng giỏ hàng.

Lập trình viên Node.js nên đọc bài này để hiểu cách triển khai tính năng cart (giỏ hàng) từ cơ sở hạ tầng backend đến giao diện người dùng với các framework frontend phổ biến.

BranchBench Performance Update

Dolt/Doltgres addressed two major performance bottlenecks exposed by BranchBench, a database benchmark for agentic workflows. For RangeRead, the fix involved properly decomposing composite record comparisons so the query planner uses the primary key index instead of a full table scan, achieving a 653x speedup and bringing performance within 5% of Postgres. For the Simulation benchmark's evaluation query, the team improved LookupJoin cost estimation to favor HashJoins (matching Postgres's choice), cached CASE statement type evaluation, and improved hash key operations — collectively reducing the gap from 206x slower to about 18x slower than Postgres, with remaining gaps attributed to lack of parallel join/scan support.

AMD Contributes ONNX Runtime Backend To FFmpeg DNN Filter

An AMD engineer has contributed an ONNX Runtime backend to FFmpeg's DNN (Deep Neural Network) processing filter. The addition enables inferencing across multiple GPU and NPU platforms, including NVIDIA CUDA, Windows DirectML for all major GPU vendors, and AMD Ryzen AI NPU support via the ONNX Runtime VitisAI execution provider. This marks AMD's effort to make the Ryzen AI NPU useful within FFmpeg workflows.

Can Spotflow Solve Remote Debugging for Embedded Systems?

Spotflow is an observability platform designed to bring cloud-style monitoring to embedded devices. This walkthrough covers setting up Spotflow with Zephyr RTOS on an NXP FRDM-MCXN947 board, including installing the MCUXpresso toolchain, resolving a Python 3.14 compatibility issue (downgrading to 3.12 fixes it), configuring Ethernet connectivity, and establishing a secure MQTT/TLS connection to the Spotflow cloud dashboard. After connecting the board to a network via Ethernet, the device successfully registered with Spotflow and began transmitting logs remotely. A follow-up article will cover integrating Spotflow into a custom Zephyr project for real telemetry collection.

How Daikin Applied Americas builds consistent data pipelines at scale with Genie Code

Daikin Applied Americas (DAA) scaled its data engineering practice by combining a structured operating model with Databricks Genie Code, an AI-assisted pipeline development tool. Rather than relying on ad hoc prompts, the team built a MECE (Mutually Exclusive, Collectively Exhaustive) skill framework where each skill encodes a specific data engineering competency — covering medallion architecture design, transformation patterns, canonical alignment and governance standards. These skills are loaded at runtime by Genie Code, replacing inconsistent prompt engineering with a governed execution model. The medallion architecture (Bronze/Silver/Gold) was reinforced with explicit checkpoints between layers, enforcing source grain definition, join validation and data stability checks before data advances. Pipelines are also anchored in stable business entities rather than technical structures, reducing ambiguity across teams. The result: pipeline prototyping that previously took days now takes minutes, outputs are more consistent across teams, and governance guardrails are embedded directly into the development workflow rather than enforced through downstream review.

What is the dltHub Context Layer?

dltHub introduces a 'context layer' that stores and carries pipeline metadata — schemas, connectors, deployment configs, logs — across the entire data stack so AI agents can build, deploy, and maintain pipelines with minimal human intervention. A single command scaffolds a workspace and runs an example pipeline end to end. The system organizes work into phases (extract, model, deploy, run, maintain) with guided skill sequences and guardrails. When a source breaks months later, the agent can diagnose and fix it in minutes because all context is already available. Users stay at a high-level intent layer and only intervene for judgment calls, not errand-running.

Debezium 3.6.0.CR1 Released

Debezium 3.6.0.CR1, the first candidate release for the 3.6 milestone, introduces several enhancements: off-heap memory management for table history and schemas using RocksDB, a 75% reduction in memory allocation and 31–42% CPU overhead reduction in the MySQL connector's poll path, Spanner Omni compatibility, a monitoring REST API and multi-panel dashboard in Debezium Platform, and JDBC sink support in Platform. Oracle connector improvements include better diagnostics for missing archive logs, a unified JDBC driver version, exponential back-off for XStream attach retries, deferred transaction creation until first DML, and filtering of PRIVATE redo thread logs in RAC environments. Bug fixes address a KafkaSchemaHistory recovery race condition, PostgreSQL varbit column handling, Vitess timestamp processing, NanoTimestamp overflow for extreme dates, and CockroachDB temporal type alignment. A total of 44 issues were resolved.

Take Full Control of Your Query Results

BoxLang 1.14.0 introduces Query Transformers, a new feature that lets developers attach a callable (closure, class instance, or registered name) to any queryExecute() call to reshape database results in a single pass. Instead of post-processing query results with separate loops, transformers receive the raw Query object and execution metadata and return whatever format the application needs — REST envelopes with pagination, hydrated domain objects, columnar tabular data, or schema-aware result sets with full JDBC column descriptors. The release also adds getColumnMeta() to preserve JDBC ResultSetMetaData, application-level transformer registration via Application.bx, global query defaults via this.queryOptions and boxlang.json, and transformer support in the bx:query component. The feature is purely additive and requires no migration from 1.13.x.

Introducing pg_hardstorage: A New Community-Driven Approach to PostgreSQL Backup and Recovery

CYBERTEC has released pg_hardstorage, a new open-source PostgreSQL backup and recovery tool licensed under Apache 2.0. The project emerges from years of customer and community discussions about evolving PostgreSQL deployment models — including Kubernetes, managed cloud services, and hybrid infrastructures. Rather than claiming existing tools like pgBackRest, Barman, or WAL-G are insufficient, the announcement positions pg_hardstorage as an additional community-driven option exploring new architectural ideas. The project is hosted at pghardstorage.org with source code on GitHub, and CYBERTEC plans to publish accompanying technical articles on its design philosophy.

Visually Create Video Clips with mpv, FFmpeg and a Lua Extension — Nick Janetakis

A walkthrough of a custom Lua script for mpv that enables visual video clip creation using chapter markers and FFmpeg. The script adds four key bindings to set start/end markers, create clips, and clear markers. FFmpeg handles the actual clip extraction without re-encoding. Quality-of-life features include auto-pausing after setting the end mark, on-screen timestamp display, safe auto-incrementing file names, and preserving the original file's modification timestamp.

Search the Prisma Docs Using Your Coding Agent

The Prisma MCP server now includes a search_prisma_documentation tool that lets AI coding agents query the full Prisma docs without leaving the editor. It accepts natural-language questions and returns cited answers with links to official docs. The tool proxies Kapa's hosted MCP server behind the scenes, keeping API keys server-side. It works with any MCP-compatible client including Claude Code, Cursor, Windsurf, and VS Code, requiring no additional setup beyond the existing Prisma MCP server connection at https://mcp.prisma.io/mcp.