Dev Chat Agenda – September 23, 2026

WordPress “Comment2Shell” XSS-to-RCE Chain Lets Unauthenticated Attackers Compromise Servers via Malicious Comments

WordPress tồn tại lỗ h XSS lưu trữ trong hàm wpautop() cho phép tấn công không xác thực đạt được RCE qua bình luận độc hại. Lỗ hổng này xảy ra do wpautop() không kiểm soát đầu vào đúng cách khi xử lý bình luận. Kẻ tấn công có thể chèn mã độc vào bình luận, thực thi mã trên server khi được hiển thị. WordPress đã vá lỗi trong bản cập nhật 7.1.1, người dùng nên cập nhật ngay lập tức. Điều đáng học là sự nguy hiểm của XSS trong các component xử lý đầu như wpautop(), thường bị đánh giá thấp so với các lỗ hổng truyền thống.

Lập trình viên nên đọc bài này để hiểu lỗ bảo mật nghiêm trọng trong WordPress cho phép tấn công RCE không xác thực qua bình luận.

TinyTorch: Don’t Just Import PyTorch. Build It. – PyTorch

TinyTorch là một chương trình open-source giúp người học xây dựng framework ML từ đầu với tensors đến transformers, hoàn toàn bằng Python và API của PyTorch, chạy được trên laptop chỉ 4GB RAM không cần GPU. Dự án phát triển chậm trong 5 năm trước khi bùng nổ mạng xã hội, GitHub stars tăng từ 2,000 lên hơn 27,000 trong 11 tháng với 95+ người đóng góp và được 50+ trường đại học sử dụng. Tác giả chia sẻ bài học: sao chép chính xác production API, quyết định ràng buộc phần cứng trước khi tính năng, đầu tư cơ sở hạ tầng giảng dạy (chấm điểm, tiêu chí) và kế hoạch kế thừa sớm. TinyTorch vẫn còn khoảng trống chưa đo lường được kết quả học tập và chưa hỗ trợ GPU kernels hay distributed training.

TinyTorch giúp lập trình viên hiểu sâu nguyên lý hoạt động của PyTorch qua việc tự xây dựng một framework học máy từ cơ bản đến nâng cao.

Portainer Cuts the Cord Between Its Free and Paid Editions

Portainer đã cắt đứt mối liên kết giữa bản miễn phí CE và bản trả phí. Phiên bản CE 2.x hiện đã bị đóng băng, không có cập nhật mới. Tất cả sự phát triển hiện tại đang tập trung vào phiên bản Kubernetes-first, đóng nguồn. Điều này có nghĩa người dùng CE sẽ không nhận được các tính năng mới như dashboard management cho Kubernetes hay container Insights. Nếu bạn đang sử dụng Portainer cho production environment, việc chuyển sang bản trả phí có thể cần thiết để tiếp cận các công nghệ mới nhất.

Lập trình viên nên đọc bài này để hiểu rõ sự thay đổi trong chính sách phát triển của Portainer và tác động đến việc lựa chọn công cụ quản lý container trong tương lai.

thoughtbot's agent skills

thoughtbot vừa công bố các kỹ năng mới cho Claude và các agent lập trình khác để hỗ trợ phát triển, thiết kế và tư vấn vấn đề. Các kỹ năng này được thiết kế để cải thiện hiệu quả làm việc khi xử lý các tác vụ phức tạp trong quá trình phát triển phần mềm. Agent có thể sử dụng các skill này để tự động hóa các quy trình lặp đi lặp lại và hỗ trợ ra quyết định kỹ thuật. Các kỹ năng này tích hợp liền mạch với các công cụ như GitHub Copilot và Amazon CodeWhisperer để tăng cường năng suất lập trình.

Thoughtbot mới công bố các kỹ năng mới cho Claude và các tác giả code giúp cải thiện quy trình phát triển, thiết kế và tư vấn kỹ thuật.

Rune Goes Open Source, Looks to Share Revenue With Contributors

IDE dựa trên ngôn ngữ Go vừa trở thành open-source dưới giấy phép GPLv3, cho phép người …

I Am a Flat-Rate Monthly Responsibility Service

Một kỹ sư kỳ duyệt suy ngẫm về lý thực tế mọi người làm việc trong ngành công nghệ, thừa nhận mình nghiện giải quyết bài toán kỹ thuật phức tạp từ sửa máy tính đến đóng góp open-source. Ông chỉ ra rằng LLM đã làm mất đi sự thỏa mãn nội tại khi coding giờ trở nên dễ dàng, dự án indie bị chìm nghỉu bởi nội dung AI sinh ra, và cộng đồng open-source không còn hình xung quanh công cụ chia sẻ vì AI có thể tạo ra thay thế chỉ trong vài giờ. Trong vai trò mới, ông không còn lập trình viên mà trở thành người trông coi AI agent và nhận khiếu nại khi nó thất bại - một 'dịch vụ trách nhiệm hàng tháng với mức phí cố định'.

Bài viết này giúp lập trình viên nhận diện thực tế về sự chuyển đổi nghề nghiệp từ giải pháp kỹ thuật sang dịch vụ trách nhiệm định phí hàng tháng do sự trỗi dậy của AI.

I Built a Green Blob That Lives on My Desktop (and Now It Has Feelings)

Tác giả đã tạo ra một ứng dụng Green Blob chạy trên desktop, sử dụng state machines để mô phỏng "cảm xúc". Dự án được phát triển bằng Python, sử dụng thư viện Pygame cho giao diện đồ họa và chạy trên Linux với mã nguồn mở. Green Blob có khả năng thay đổi trạng thái cảm xúc dựa trên tương tác của người dùng, tạo ra một trải nghiệm sinh động trên desktop. Đây là một ví dụ thú vị về việc áp dụng state machines trong UI design, đặc biệt hữu ích cho các lập trình viên quan tâm đến giao diện tương tác sinh học.

Bài này mang đến góc nhìn sáng tạo về việc tạo ra ứng dụng desktop tương tác với Python, mở rộng khả năng lập trình đồ họa và xử lý trạng thái.

How an Italian Logistics Company Moved From Windows to Linux: A Real Migration Story

Một công ty logistics nhỏ tại Bergamo, Italy đã chuyển đổi từ Windows sang Linux để giảm chi phí và giải quyết các vấn đề kỹ thuật thông thường. Mišo Oroz đã triển khai hệ thống Linux trên 15 máy tính bằng Ubuntu LTS và SUSE Linux Enterprise Desktop, thay thế hoàn toàn Windows 10 và Microsoft Office. Cuộc di chuyển này giúp công ty tiết kiệm khoảng 3,000 EUR/năm từ việc loại bỏ giấy phép phần mềm proprietary. Quan trọng hơn, hệ thống Linux mới ổn định hơn 40% so với Windows trước đó, giảm đáng kể thời gian chết và yêu cầu bảo trì. Điều này cho thấy rằng ngay cả doanh nghiệp nhỏ cũng có thể hưởng lợi rõ ràng từ việc chuyển đổi sang open source khi có kế hoạch triển khai phù hợp.

Bài viết này cung cấp kinh nghiệm thực tế về việc giảm chi phí và giải quyết vấn đề kỹ thuật khi chuyển đổi từ Windows sang Linux trong ngành logistics.