A deep dive into GitHub Actions

pnpm 12.0

pnpm 12.0 là bản ổn định đầu tiên sau khi viết lại toàn bộ công cụ bằng Rust, thay vì dựa trên Node.js như các phiên bản trước. Mặc dù là một bản viết lại, nhóm phát triển故意 giữ nguyên tất cả các lệnh, flags, cấu hình và định dạng lockfile của pnpm 11 để đảm bảo không có bất kỳ thay đổi nào đối với người dùng hiện tại. Vì vậy, các dự án đang sử dụng pnpm 11 có thể nâng cấp lên pnpm 12 mà không cần sửa đổi scripts, package.json hoặc lockfile, và tài liệu官方同時提供 hướng dẫn cho cả hai phiên bản. Bản Rust này mang lại cải thiện về tốc độ cài đặt và sử dụng bộ nhớ nhờ vào biên dịch bản địa và mô hình quản lý dependency hiệu quả hơn. Từ đây, chúng ta học được rằng việc refactor một công cụ quan trọng có thể thực hiện bằng ngôn ngữ hệ thống như Rust mà vẫn giữ sự tương thích ngược, nếu chúng ta tập trung vào việc giữ nguyên giao diện người dùng và định dạng dữ liệu.

Lập trình viên nên đọc bài này vì pnpm 12.0 được viết lại bằng Rust mang lại hiệu năng tốt hơn trong khi vẫn giữ nguyên toàn bộ cú pháp và định dạng file lock từ phiên bản trước.

Node.js — Node.js 24.20.0 (LTS)

Node.js 24.20.0 là phiên bản LTS mới nhất của môi trường chạy JavaScript đa nền tảng, miễn phí và mã nguồn mở. Nó cho phép các nhà phát triển viết mã JavaScript để xây dựng máy chủ, ứng dụng web, công cụ dòng lệnh và script mà không cần phụ thuộc vào trình duyệt. Với bản phát hành này, Node.js tiếp tục hỗ trợ các tính năng ES2023 và cải thiện hiệu suất V8, giúp giảm latency trong các dịch vụ I/O mạnh. Sự ổn định của chuỗi LTS đảm bảo rằng các ứng dụng sản xuất nhận được bản vá bảo mật và cập nhật tối thiểu trong vòng 30 tháng, giảmภาระ bảo trì. Do đó, khi quyết định sử dụng Node.js cho dự án backend, chọn phiên bản 24.20.0 LTS là cách để cân bằng giữa tính năng mới và hỗ trợ dài hạn.

Bài viết cập nhật Node.js 24.20.0 (LTS) giúp lập trình viên nắm bắt những cải tiến và tối ưu hóa mới nhất cho ứng dụng JavaScript của mình.

Node.js — Node.js 26.8.0 (Current)

Phiên bản Node.js 26.8.0 (Current) được ra mắt như một môi trường chạy JavaScript miễn phí, mã nguồn mở và đa nền tảng. Nó được xây dựng trên motore V8 của Chrome và cung cấp API non‑blocking I/O, cho phép xử lý đồng thời nhiều kết nối mà không cần luồng bổ sung. Nhờ đó, các lập trình viên có thể xây dựng máy chủ HTTP, ứng dụng web, công cụ dòng lệnh và script chỉ bằng một ngôn ngữ JavaScript, giảm chi phí chuyển đổi ngữ cảnh giữa frontend và backend. Việc chọn Node.js 26.8.0 nghĩa là bạn nhận được một runtime ổn định, hỗ trợ các tính năng ES2023 mới nhất và có hệ thống package npm phong phú, giúp tăng tốc độ phát triển và duy trì mã nguồn. Ngoài ra, khả năng chạy trên Windows, macOS và Linux mà không thay đổi mã nguồn làm cho việc triển khai ứng dụng trở nên đơn giản và nhất quán.

Lập trình viên nên đọc bài này để cập nhật những tính năng và cải tiến mới nhất trong phiên bản Node.js 26.8.0.

Security advisories: CVE-2026-80212 and CVE-2026-80213

Hai lỗi bảo mật mới được phát hiện trong gem resolv, thành phần chuẩn của Ruby dùng để giải quyết DNS. Các lỗi này đã được cấp mã CVE-2026-80212 và CVE-2026-80213. Do gem resolv được tích hợp sẵn trong mọi cài đặt Ruby, bất kỳ ứng dụng nào sử dụng hàm resolv để thực hiện truy vấn DNS đều có thể bị ảnh hưởng. Nếu được khai thác, lỗi có thể cho phép kẻ tấn công thực hiện các hành vi không mong muốn như gián điệp dữ liệu hoặc gây từ chối dịch vụ. Bài học là cần thường xuyên kiểm tra và cập nhật các gem phụ thuộc, đặc biệt là những thành phần chuẩn của ngôn ngữ.

Lập trình viên nên đọc bài này để biết cách bảo vệ ứng dụng Ruby khỏi hai lỗ hổng bảo hiểm nguy hiểm trong gem resolv.

Dev Machine Guard Now Inventories Browser Extensions on Developer Machines

Dev Machine Guard hiện đang theo dõi các extension trình duyệt trên toàn bộ bộ phận phát triển. Công cụ này quét và ghi lại từng extension được cài đặt trên Chrome, Edge và Firefox, đồng thời xác định nguồn gốc – có phải từ marketplace hay được cài thủ công – và quyền hạn mà chúng được phép thực thi. Khi có dữ liệu này, các nhà phát triển có thể nhanh chóng phát hiện các extension tiềm ẩn rủi ro hoặc vi phạm chính sách, giảm thiểu khả năng rò rỉ dữ liệu và cải thiện quản lý bảo mật. Việc tự động hoá việc inventory extension giúp teams nâng cao độ minh bạch và kiểm soát môi trường phát triển, đồng thời giảm công sức kiểm tra thủ công. Nếu bạn đang cân nhắc triển khai công cụ quản lý extension, hãy xem cách Dev Machine Guard thực hiện quy trình này để tối ưu hoá pipeline CI/CD và giảm thiểu lỗi bảo mật.

Dev Machine Guard giúp bạn kiểm soát toàn bộ các tiện ích trình duyệt trên máy của lập trình viên để ngăn chặn rủi ro bảo mật.

Node.js — Node.js 26.8.1 (Current)

Node.js 26.8.1 (Current) là phiên bản mới nhất của môi trường chạy JavaScript miễn phí, mã nguồn mở và đa nền tảng. Nó được xây dựng trên محرك V8 của Chrome, cho phép thực thi mã JavaScript ngoài trình duyệt. Nhờ tính cross‑platform, cùng một bản code có thể chạy trên Windows, macOS và Linux mà không cần thay đổi. Điều này giúp các nhà phát triển xây dựng máy chủ HTTP, ứng dụng web, công cụ dòng lệnh và script tự động hoá với một ngôn ngữ duy nhất. Khi cân nhắc sử dụng Node.js, nên lưu ý rằng hiệu suất phụ thuộc vào phiên bản V8 và các module native có thể cần biên dịch lại khi thay đổi hệ điều hành.

Bài viết cập nhật Node.js 26.8.1 mang đến những cải tiến quan trọng giúp tăng hiệu suất và bảo mật cho các dự án JavaScript của bạn.

Agentic Code Quality

Bối cảnh: Sự tăng trưởng của các AI agent như GitHub Copilot, Amazon CodeWhisperer đang …

Critical Avada WordPress theme flaw enables zero-click RCE

Avada là một trong những theme WordPress phổ biến nhất, được sử dụng trên hơn 700.000 trang web với nhiều phiên bản khác nhau. Lỗi tồn tại trong hàm xử lý ajax của theme, cho phép kẻ tấn công không cần xác thực gửi request đặc biệt để kích hoạt hàm eval hoặc include động, từ đó thực thi mã PHP tùy ý trên server. Với một request duy nhất (zero-click), attacker có thể chiếm quyền kiểm soát hoàn chỉnh máy chủ, cài đặt backdoor, đánh cắp dữ liệu hoặc đưa trang web vào botnet. Nhà quản trị nên luôn cập nhật theme Avada lên phiên bản vá lỗi mới nhất (phiên bản 7.10.2 trở lên), tắt tính năng ajax không cần thiết và sử dụng tường lửa ứng dụng web để chặn các request đáng ngờ. Ngoài ra, kiểm tra mã nguồn theme và hạn chế quyền truy cập vào thư mục wp-content cũng giúp giảm thiểu rủi ro tương tự.

Lập trình viên nên đọc bài viết này để nhận biết lỗ hổng nghiêm trọng trong theme Avada có thể khai thác từ xa để thực thi mã PHP bất kỳ.