How to Log GDPR Consent in Node.js (And Why Your Cookie Banner Isn’t Proof)

pnpm 12.6

pnpm 12.6 giới tính tính năng tự động loại bỏ sự trùng lặp dependency và relocatable packages. Phiên bản này sử dụng thuật toán pnpm-lock.yaml để phát hiện các bản sao lưu của cùng một dependency trong node_modules. Hệ quả là kích thước bundle giảm đáng kể, ví dụ dự án với 100 dependency có thể chỉ chiếm 50MB thay vì 200MB như trước. Điều đáng học là cơ chế hoisting của pnpm 12.6 cho phép các package được tái sắp xếp mà không phá vỡ cấu trúc cây dependency. Phiên bản mới cũng hỗ trợ tốt hơn với workspace và monorepo, giúp lập trình viên quản lý code phức tạp hiệu quả hơn.

Phiên bản pnpm 12.6 tự động loại bỏ trùng lặp dependency và hỗ trợ tái định vị, giúp tối ưu hóa dự án và giảm thiểu dung lượng lưu trữ.

WordPress “Comment2Shell” XSS-to-RCE Chain Lets Unauthenticated Attackers Compromise Servers via Malicious Comments

WordPress tồn tại lỗ h XSS lưu trữ trong hàm wpautop() cho phép tấn công không xác thực đạt được RCE qua bình luận độc hại. Lỗ hổng này xảy ra do wpautop() không kiểm soát đầu vào đúng cách khi xử lý bình luận. Kẻ tấn công có thể chèn mã độc vào bình luận, thực thi mã trên server khi được hiển thị. WordPress đã vá lỗi trong bản cập nhật 7.1.1, người dùng nên cập nhật ngay lập tức. Điều đáng học là sự nguy hiểm của XSS trong các component xử lý đầu như wpautop(), thường bị đánh giá thấp so với các lỗ hổng truyền thống.

Lập trình viên nên đọc bài này để hiểu lỗ bảo mật nghiêm trọng trong WordPress cho phép tấn công RCE không xác thực qua bình luận.

pnpm 12.5

pnpm 12.5 đã giới thiệu hỗ trợ cho Python, bao gồm cả editable project packages và shared …

Ship cleaner packages (without the ./dist or ./src folder) by publishing a subfolder to NPM

Để tránh lộ thư mục dist/ hoặc src/ trong các đường dẫn import công khai, kỹ thuật này hướng dẫn việc xuất bản chỉ nội dung thư mục build (như ./dist) lên NPM với tư cách là gốc package bằng lệnh npm publish ./dist. Phương pháp này đòi hỏi thư mục phải chứa package.json, README và LICENSE riêng, nên cần script postbuild để sao chép và điều chỉnh đường dẫn package.json. Các biện pháp phòng ngừa được đề xuất để tránh vô tình chạy npm publish thông thường, cùng với lệnh dry-run và npm pack để kiểm tra tarball trước khi xuất bản thực tế.

Phương pháp xuất bản chỉ thư mục build lên NPM giúp tránh rò rỉ thông tin triển khai và giữ cho package sạch sẽ.

ESLint v10.11.0 released

ESLint phiên bản 10.11.0 đã được phát hành, đây là công cụ linting có khả năng mở rộng và cấu hình để phát hiện và báo cáo các mẫu mã trong JavaScript. Phiên bản mới này tập trung vào cải thiện hiệu suất và trải nghiệm người dùng với các tính năng mới như auto-fix cho nhiều quy tắc phổ biến. ESLint giúp duy trì chất lượng code một cách dễ dàng nhờ hệ thống quy tắc linh hoạt và khả năng tùy chỉnh cao. Với hơn 50 quy tắc tích hợp sẵn và hỗ trợ plugins từ cộng đồng, ESLint trở thành công cụ không thể thiếu cho các dự án JavaScript quy mô lớn.

Lập trình viên nên đọc bài này để cập nhật các tính năng mới và cải tiến trong ESLint v10.11.0 giúp nâng cao chất lượng code JavaScript.

Bun v1.4.2

Bản phát hành Bun v1.4.2 được ra để sửa hai hồi quy ảnh hưởng tới Elysia và AsyncLocalStorage, cùng một treo trong @discordjs/ws, lỗi giải mã JPEG CMYK trong Bun.Image, một trường hợp crash JIT hiếm và một lỗi GC trên hệ thống musl. Những hồi quy này xuất hiện vì các thay đổi gần đây trong trình biên dịch JIT và bộ thu gom rác, làm ảnh hưởng tới cách lưu trữ trạng thái bất đồng bộ và xử lý kết nối websocket, đồng thời gây ra xử lý sai không gian màu CMYK khi giải mã ảnh. Do đó, các ứng dụng dùng Elysia hoặc AsyncStorage có thể gặp lỗi thời gian chạy, máy chủ sử dụng @discordjs/ws có thể bị treo vô thời hạn, hình ảnh CMYK không hiển thị đúng, và đôi khi toàn bộ tiến trình Bun sẽ crash do JIT hoặc GC. Những sự cố này cho thấy cần phải có bộ test hồi quy chuyên biệt cho các tính năng JIT, GC và xử lý ảnh đặc biệt trước khi phát hành bản mới. Việc duy trì các test tích hợp cho các thư viện phổ biến như Elysia và AsyncLocalStorage giúp phát hiện sớm các vấn đề tương tự trong chuỗi phát triển.

Lập trình viên cần đọc về Bun v1.4.2 để cập nhật kiến thức về các sự cố mới trong thư viện web và công cụ như Elysia, DiscordJS WebSocket, và Image.JS, giúp tránh lỗi trong dự án khi sử dụng phiên bản cũ.

Node.js — Node.js 26.8.2 (Current)

Node.js 26.8.2 là bản phát hành hiện hành của nền tảng runtime JavaScript đa nền tảng này. Bản cập nhật này tập trung vào cải thiện hiệu năng và ổn định cho các ứng dụng server-side và CLI tools. Các thay đổi đáng chú ý bao gồm tối ưu hóa garbage collection và sửa lỗi trong module system. Nếu bạn đang làm việc với dự án Node.js, việc cập nhật lên phiên bản 26.8.2 sẽ mang lại lợi ích về hiệu năng và bảo mật cho ứng dụng của mình.

Bài viết này cung cấp thông tin cập nhật và đầy đủ về phiên bản Node.js 26.8.2, giúp lập trình viên nắm bắt tính năng mới và cải tiến quan trọng để tối ưu hóa ứng dụng JavaScript của mình.

A Shai-Hulud npm payload came back 111 days later

Một con Shai-Hulud worm đã ẩn mình trong npm registry suốt 111 ngày rồi bất ngờ tái xuất hiện, qua mặt hoàn toàn hệ thống quét malware. Chiến thuật này khai thác khoảng trống thời gian trong cơ chế giám sát của npm, cho phép mã độc tồn tại lâu dài mà không bị phát hiện. Vụ việc này gây ra rủi ro bảo mật đáng kể cho các dự án phụ thuộc vào các package bị nhiễm. Lập trình viên nên cân nhắc thêm các bước kiểm tra bổ sung như analysis bằng công cụ như npm audit hoặc Snyk để phát hiện hành vi đáng ngờ. Điều này cho thấy giới hạn của hệ thống tự động và nhu cầu cần thiết về nhận thức cộng đồng trong việc bảo vệ ecosystem.

Bài viết này cảnh báo về mối nguy hiểm của các npm payload có khả năng ẩn mình và né qua hệ thống quét độc hại.