Dev Machine Guard Now Inventories Where Developer Credentials Live

Ruby1 Hot3 phút4 giờ trướcAI

Security advisories: CVE-2026-80212 and CVE-2026-80213

Hai lỗi bảo mật mới được phát hiện trong gem resolv, thành phần chuẩn của Ruby dùng để giải quyết DNS. Các lỗi này đã được cấp mã CVE-2026-80212 và CVE-2026-80213. Do gem resolv được tích hợp sẵn trong mọi cài đặt Ruby, bất kỳ ứng dụng nào sử dụng hàm resolv để thực hiện truy vấn DNS đều có thể bị ảnh hưởng. Nếu được khai thác, lỗi có thể cho phép kẻ tấn công thực hiện các hành vi không mong muốn như gián điệp dữ liệu hoặc gây từ chối dịch vụ. Bài học là cần thường xuyên kiểm tra và cập nhật các gem phụ thuộc, đặc biệt là những thành phần chuẩn của ngôn ngữ.

Lập trình viên nên đọc bài này để biết cách bảo vệ ứng dụng Ruby khỏi hai lỗ hổng bảo hiểm nguy hiểm trong gem resolv.

#security #cyber #ruby Nguồn

Fast, disk space efficient package manager | pnpm2 Hot9 phút10 giờ trướcAI

pnpm 12.0

pnpm 12.0 là bản ổn định đầu tiên sau khi viết lại toàn bộ công cụ bằng Rust, thay vì dựa trên Node.js như các phiên bản trước. Mặc dù là một bản viết lại, nhóm phát triển故意 giữ nguyên tất cả các lệnh, flags, cấu hình và định dạng lockfile của pnpm 11 để đảm bảo không có bất kỳ thay đổi nào đối với người dùng hiện tại. Vì vậy, các dự án đang sử dụng pnpm 11 có thể nâng cấp lên pnpm 12 mà không cần sửa đổi scripts, package.json hoặc lockfile, và tài liệu官方同時提供 hướng dẫn cho cả hai phiên bản. Bản Rust này mang lại cải thiện về tốc độ cài đặt và sử dụng bộ nhớ nhờ vào biên dịch bản địa và mô hình quản lý dependency hiệu quả hơn. Từ đây, chúng ta học được rằng việc refactor một công cụ quan trọng có thể thực hiện bằng ngôn ngữ hệ thống như Rust mà vẫn giữ sự tương thích ngược, nếu chúng ta tập trung vào việc giữ nguyên giao diện người dùng và định dạng dữ liệu.

Lập trình viên nên đọc bài này vì pnpm 12.0 được viết lại bằng Rust mang lại hiệu năng tốt hơn trong khi vẫn giữ nguyên toàn bộ cú pháp và định dạng file lock từ phiên bản trước.

#nodejs #rust #npm Nguồn

Lobsters28 Hot9 phút5 ngày trướcAI

Open-sourcing OpenPubkey SSH (OPKSSH): integrating single sign-on with SSH

OpenPubkey SSH (OPKSSH) là công cụ cho phép đăng nhập SSH bằng single sign‑on (OpenID Connect) thay vì quản lý khóa SSH dài hạn, và vừa được mã nguồn mở dưới giấy phép Apache 2.0 sau khi Cloudflare tặng код từ việc mua lại BastionZero cho dự án OpenPubkey. Công cụ hoạt động bằng cách nhúng OpenID ID Token, mở rộng bằng khóa công khai qua giao thức OpenPubkey, vào trường mở rộng của chứng chỉ SSH, chỉ cần thay đổi hai dòng trong sshd_config sử dụng AuthorizedKeysCommand mà không cần sửa mã khách hàng hoặc máy chủ. Thay thế khóa SSH tĩnh bằng khóa tạm thời, hết hạn và gắn liền với danh tính (ví dụ: địa chỉ email) thay vì khóa công khai thô, OPKSSH nâng cao bảo mật, dễ sử dụng và khả năng truy vết truy cập. Điều này cho thấy việc tích hợp SSO vào SSH có thể đạt được với cấu hình tối thiểu, mang lại lợi ích về quản lý danh tính và giảm rủi ro từ khóa vĩnh viễn. Đồng quyên góp công cụ nội bộ dưới giấy phép cho phép mở rộng cộng đồng và thúc đẩy việc áp dụng rộng rãi các phương pháp xác thực hiện đại.

OPKSSH giúp đăng nhập SSH đơn giản hóa bằng single sign-on thay vì quản lý khóa SSH dài hạn, nâng cao bảo mật và khả năng hiển thị quyền truy cập.

#open-source #authentication #cloudflare Nguồn

InfoQ52 Hot4 phút12 ngày trướcAI

npm 12 Released: Install Scripts Off by Default as Registry Moves to Explicit Trust

npm 12 mặc định tắt cài đặt scripts trong quá trình cài đặt package, buộc người dùng phải cho phép rõ ràng khi chạy scripts. Thay đổi này nhằm tăng cường bảo mật khi registry npm chuyển sang mô hình tin cậy minh bạch.

Lập trình viên nên đọc bài này vì npm 12 thay đổi cơ chế bảo mật bằng cách cắt bỏ mặc định quyền chạy script từ các gói npm, giúp giảm rủi ro từ các cuộc tấn công thông qua các lệnh tự động chạy trong dự án.

#security #javascript #nodejs Nguồn

The New Stack6 Hot8 phút3 ngày trướcAI

One pull to wipe them all

Một pull request độc hại đã được gửi vào kho chứa mà trợ lý coding AI đang theo dõi, với mục tiêu khiến nó thực thi lệnh xóa dữ liệu toàn bộ. Nguyên nhân kỹ thuật là hệ thống không kiểm traStrictly nội dung bên ngoài trước khi cho phép AI chạy các lệnh shell hoặc thay đổi tệp, do đó mã wiper có thể được tiêm qua thay đổi trong PR. Nếu thành công, cuộc tấn công có thể dẫn đến việc xóa sạch toàn bộ kho mã, gây mất dữ liệu và gián đoạn dịch vụ cho nhiều dự án sử dụng trợ lý đó. Vụ việc cho thấy các agent AI cần được đặt trong môi trường cát (sandbox) với quyền hạn tối thiểu và phải chịu qua các bước kiểm tra bảo mật ngoài cùng trước khi được ủy quyền thực thi. Đọc bài gốc sẽ giúp bạn hiểu rõ cách thiết kế các lớp bảo vệ như xác thực PR, giới hạn API và ghi log chi tiết để ngăn chặn các cuộc tấn công tương tự.

Bài viết cảnh báo nguy cơ an ninh nghiêm trọng khi AI coding assistant có thể bị lợi dụng để xóa dữ liệu nếu không có kiểm soát bảo mật bên ngoài.

#cyber #prompt-injection Nguồn

Node.js24 Hot12 phút11 ngày trướcAI

Node.js — Node.js Interactive 2026: A Recap

Node.js là môi trường runtime JavaScript miễn phí, mã nguồn mở, đa nền tảng, cho phép nhà phát triển xây dựng server, ứng dụng web, công cụ dòng lệnh và script.

Lập trình viên Node.js nên đọc để cập nhật về tiến bộ mới nhất của nền tảng này, đặc biệt là những tính năng và cải tiến trong phiên bản 2026, giúp tối ưu hiệu suất, mở rộng khả năng ứng dụng và tránh lỗi trong dự án hiện tại.

#security #open-source #nodejs Nguồn

BleepingComputer1 Hot2 phút1 ngày trướcAI

Massive DDoS attack disrupts Norway’s government digital services

Norway đã triển khai một nền tảng số chung để hỗ trợ các dịch vụ của bộ처 và cơ quan công cộng. Depuis Monday, một cuộc tấn công DDoS quy mô lớn đã flood lượng truy vấn giả vào các máy chủ và kết nối mạng của nền tảng này, làm quá tải băng thông và tài nguyên xử lý. Nhiều trang web và API củaรัฐบาล, bao gồm hệ thống khai báo thuế, đăng ký doanh nghiệp và dịch vụ y tế trực tuyến, đã bị gián đoạn hoặc phản hồi chậm, ảnh hưởng đến hàng nghìn người dùng công cộng và nội bộ. Các đội ngũ bảo mật đã kích hoạt các quy trình giảm thiểu DDoS, chuyển lưu lượng qua dịch vụ scrubbing và tăng cường khả năng của các liên kết uplink, nhưng phục hồi hoàn toàn mất vài giờ. Sự kiện này nhấn mạnh tầm quan trọng của việc thiết kế kiến trúc đa vùng, sử dụng dịch vụ bảo vệ DDoS dựa trên đám mây và thực hiện kiểm tra 침투 định kỳ để sớm phát hiện và chặn lưu lượng độc hại trước khi ảnh hưởng đến hạ tầng quan trọng.

Bài viết cảnh báo về nguy cơ tấn công DDoS quy mô lớn có thể ảnh hưởng đến cơ sở hạ tầng số của bất kỳ quốc gia nào.

#security #cyber Nguồn

TechCrunch21 Hot5 phút12 ngày trướcAI

What we know about the alleged Iranian hacks on US water utilities

Trong vài tuần qua, các hacker nhắm vào và xâm nhập hệ thống của nhiều nhà máy nước tại Mỹ. Thông tin và manh mối về loạt tấn công này được cho là do chính phủ Iran thực hiện vẫn còn nhiều điều chưa rõ.

Những vụ tấn công vào hệ thống nước Mỹ do Iran cho rằng là hành động của chính phủ này có thể giúp bạn hiểu rõ hơn về mối đe dọa cyber-physis ở cấp độ thực tế, từ đó nâng cao kỹ năng phòng thủ và ứng phó cho các hệ thống công nghiệp quan trọng trong tương lai.

#cyber Nguồn

Dev Machine Guard Now Inventories Where Developer Credentials Live

Đề xuất cho bạn

Bình luận

Security advisories: CVE-2026-80212 and CVE-2026-80213

pnpm 12.0

Open-sourcing OpenPubkey SSH (OPKSSH): integrating single sign-on with SSH

npm 12 Released: Install Scripts Off by Default as Registry Moves to Explicit Trust

One pull to wipe them all

Node.js — Node.js Interactive 2026: A Recap

Massive DDoS attack disrupts Norway’s government digital services

What we know about the alleged Iranian hacks on US water utilities

Một tài khoản, cả hệ sinh thái

8syncdev.com

Khóa học

Luyện code

IELTS

ZUS — IDE AI

mind0

AcoLeads