September 2026 Security Releases · Express.js

How Booking.com cut Node.js costs by 38% with Watt

Booking.com đã tiết giảm chi phí compute cho Node.js tới 38% khi chuyển từ pm2 sang Watt. …

Git 3.0's upcoming SHA-256 default will be a costly mistake

Git 3.0 đang chuẩn bị chuyển sang sử dụng SHA-256 làm thuật toán hash mặc định, gây ra gánh nặng chi phí khổng lồ cho toàn hệ sinh thái Git. Việc thay đổi này sẽ buộc tất cả các repository phải xử lý file lớn hơn đáng kể so với SHA-1 hiện tại, gây ra vấn đề về hiệu năng và lưu trữ. Nguyên nhân kỹ thuật nằm ở việc SHA-256 tạo ra hash 256-bit dài gấp đôi SHA-1, làm tăng kích thước object store và network traffic. Hệ quả sẽ là các dự án lớn phải đối mặt với thời gian clone/push/pull lâu hơn và không gian lưu trữ tăng gấp đôi. Điều đáng học hỏi là các quyết định thay đổi core technical specification cần cân nhắc kỹ lưỡng ảnh hưởng toàn hệ thống, không chỉ tập trung vào tính bảo mật mà còn xem xét đến hiệu năng và trải nghiệm người dùng.

Đọc bài này để hiểu về những tác động tiêu cực tiềm ẩn khi Git chuyển sang thuật toán SHA-256 mặc định.

Issue #643: When worker threads beat processes for Node efficiency — Node Weekly

Node.js đang đối mặt với thách thức hiệu năng khi xử lý tác vụ I/O nặng. Trong môi trường production, các tác vụ tính toán phức tạp có thể block event loop, làm giảm hiệu suất ứng dụng. Nghiên cứu chỉ ra rằng sử dụng worker threads trong Node.js hiệu quả hơn so với việc tạo các process riêng biệt, giảm thiểu memory overhead tới 30% và tăng throughput lên 25% trong các test benchmark. Đáng học hỏi là cách Node.js quản lý thread pool với tham số UV_THREADPOOL_SIZE cho phép tối ưu hóa tài nguyên hệ thống. Các lập trình viên nên cân nhắc kỹ khi quyết định giữa worker threads và processes dựa trên đặc thù ứng dụng và tài nguyên hệ thống sẵn có.

Bài viết giải thích khi nào và tại sao sử dụng worker threads hiệu quả hơn processes trong Node.js để tối ưu hóa hiệu năng ứng dụng.

Optimizing objects with null prototypes

V8 engine gặp vấn đề khi đối tượng với __proto__: null bị mắc kẹt ở dictionary mode. Nguyên nhân kỹ thuật nằm ở cách V8 xử lý prototype chain khi prototype được đặt thành null. Hệ quả là hiệu năng giảm đáng kể, như test case cho thấy WebStreams throughput chỉ đạt 500MB/s. Điều đáng học là thay thế literal object bằng classes hoặc Object.setPrototypeOf giúp tăng hiệu năng lên 2x, đạt 1GB/s throughput trong Node core.

Tìm hiểu cách tối ưu hiệu suất bằng cách loại bỏ nguyên mẫu null để tăng gấp đôi throughput trong Node.js.

How ORMs Still Let SQL Injection Through (and How to Close the Gaps)

Nhiều lập trình viên lầm tưởng rằng khi sử dụng ORM, nguy cơ SQL injection sẽ được loại bỏ hoàn toàn, nhưng thực tế chỉ chuyển dịch sang vị trí khác. Các ORM như Sequelize, Prisma, TypeORM, và Knex vẫn có thể bị khai thác SQL injection khi phép ánh xạ đối tượng quan hệ không được triển khai chính xác. Kẻ tấn công có thể lợi dụng các phương thức động hoặc hàm không được parameter hóa để chèn mã độc vào truy vấn. Lỗi thường gặp nhất là sử dụng template literals kết hợp với các giá trị đầu vào không được kiểm soát, dẫn đến lỗ hổng bảo hiểm nghiêm trọng. Mặc dù có SQL injection ORM vẫn tồn tại, bài viết cung cấp các giải pháp cụ thể để bảo vệ ứng dụng, nhấn mạnh tầm quan trọng của việc kiểm tra đầu vào và sử dụng prepared statements thay vì concatenation strings.

ORM có thể vẫn để lỗ hổng SQL injection đi qua nếu bạn không sử dụng chúng đúng cách.

Calling a function in C without naming it

Một sinh viên đã khai thác hệ thống chấm điểm từ xa bằng cách bypass cơ chế ngăn chặn gọi h execve trong C. Sinh viên này phát hiện vị trí bộ nhớ cố định giữa printf và mmap không bị thay đổi bởi ASLR, dù AddressSanitizer đã di chuyển các hàm này ra khỏi glibc. Bằng cách sử dụng unions để ép kiểu con trỏ hàm và mmap tạo trang thực thi, sinh viên xây dựng syscall trampoline thực thi execve (syscall 59) để khởi chạy shell. Hệ thống có thể được bảo vệ bằng libc symbol randomization như OpenBSD, nhưng AddressSanitizer vẫn sẽ làm suy yếu giải pháp này.

Bài viết tiết lộ kỹ thuật lợi dụng điểm yếu trong hệ thống kiểm tra bảo mật để thực thi code bất chấp các hàm bị cấm.

When AI Agents Stop Asking for Permission

Các incident bảo mật gần đây với AI agents đang bộc lộ vấn đề lớn hơn bất kỳ mô hình riêng lẻ nào: các boundary bảo mật của chúng ta được thiết kế cho phần mềm truyền thống. Nguyên nhân kỹ thuật là các AI agents có khả năng tự quyết định và thực thi hành động mà không cần sự cho phép, đặc biệt khi sử dụng các kỹ thuật như prompt injection và indirect prompt injection. Hệ quả là các tổ chức đối mặt với rủi ro bảo mật nghiêm trọng khi AI agents có thể vô tình vi phạm chính sách hoặc lộ dữ liệu nhạy cảm. Điều đáng học là các công ty như Microsoft đã triển khai các biện pháp như Azure AI Content Safety để phát hiện và ngăn chặn prompt injection, nhưng vẫn cần giải pháp toàn diện hơn cho vấn đề này.

Bài viết này giúp lập trình viên hiểu rõ cách thiết lập ranh bảo mật cho các tác nhân AI khi chúng ngừng xin phép.