Undead Software Projects Continue to Raise Security Risks

Learn Real-World Penetration Testing: Hands-On Ethical Hacking Crash Course

Understanding how malicious actors infiltrate networks is the first step to building resilient infrastructure. To help developers and aspiring security analysts learn the fundamentals of offensive sec

Secure Your AI Agents – Free Model Context Protocol (MCP) Security Course

The Model Context Protocol (MCP) helps connect LLMs to external tools, databases, and APIs. But giving AI agents hands and feet to take real-world actions introduces an entirely new attack surface. We

A Claude agent ran inside a Pentagon network for two months, WIRED reports

‘100 percent a national security threat’: an Accenture contractor’s Claude agent appears to have sent Pentagon logins to a risky site.

Not the End, but a Shift: How AI Is Pushing Computer Science Toward Deeper Engineering

If you're studying computer science right now, or you just graduated, you've probably heard some... Tagged with career, ai, computerscience, software.

How ORMs Still Let SQL Injection Through (and How to Close the Gaps)

Nhiều lập trình viên lầm tưởng rằng khi sử dụng ORM, nguy cơ SQL injection sẽ được loại bỏ hoàn toàn, nhưng thực tế chỉ chuyển dịch sang vị trí khác. Các ORM như Sequelize, Prisma, TypeORM, và Knex vẫn có thể bị khai thác SQL injection khi phép ánh xạ đối tượng quan hệ không được triển khai chính xác. Kẻ tấn công có thể lợi dụng các phương thức động hoặc hàm không được parameter hóa để chèn mã độc vào truy vấn. Lỗi thường gặp nhất là sử dụng template literals kết hợp với các giá trị đầu vào không được kiểm soát, dẫn đến lỗ hổng bảo hiểm nghiêm trọng. Mặc dù có SQL injection ORM vẫn tồn tại, bài viết cung cấp các giải pháp cụ thể để bảo vệ ứng dụng, nhấn mạnh tầm quan trọng của việc kiểm tra đầu vào và sử dụng prepared statements thay vì concatenation strings.

ORM có thể vẫn để lỗ hổng SQL injection đi qua nếu bạn không sử dụng chúng đúng cách.

Zod 4.6.6 compromised by malware?

Một lỗ h bảo mật nghiêm trọng đã được phát hiện trong phiên bản 4.6.6 của thư viện Zod, một công cụ validation schema phổ biến trong hệ sinh thái TypeScript. Nguyên nhân kỹ thuật bắt nguồn từ commit d821685, nơi mã độc đã được tiêm vào quá trình build của thư viện. Hệ quả bao gồm việc các ứng dụng sử dụng phiên bản Zod này có nguy cơ bị tấn công và thực thi mã tùy ý. Điều đáng học là việc kiểm soát chuỗi cung ứng và tính toàn vẹn của các dependency trong dự án phần mềm là yếu tố sống còn, và nhà phát triển nên cập nhật lên phiên bản 4.6.7 ngay lập tức để vá lỗ hổng này.

Lập trình viên nên đọc bài này để cập nhật lỗ bảo mật Zod 4.6.6 và ngăn chặn mã độc ảnh hưởng đến dự án của mình.

Five Ways To Use AI Coding Agents to Improve Your Software Architecture

Kiến trúc hiện đại thường sử dụng các legacy services cho nhiệm vụ cụ thể nhưng chúng thường thiếu tài liệu chính xác và sửa đổi chúng tiềm ẩn rủi ro. AI coding agents có thể giúp lấp đầy khoảng trống kiến thức này bằng cách phân tích codebase. Các công cụ như GitHub Copilot, Amazon CodeWhisperer hay Tabnine có thể hiểu ngữ cảnh và đề xuất cải tiến cho hệ thống cũ. Điều này cho phép developer hiểu rõ hơn dependency giữa các thành phần mà không cần đọc trực tiếp hàng ngàn dòng code. Hơn nữa, AI agents có thể đề xuất refactoring để tăng khả năng maintainability của hệ thống mà không phá vỡ tính ổn định.

AI coding agents giúp đóng khoảng cách kiến thức khi làm việc với các dịch vụ legacy trong kiến trúc phần mềm hiện đại.

A Shai-Hulud npm payload came back 111 days later

Một con Shai-Hulud worm đã ẩn mình trong npm registry suốt 111 ngày rồi bất ngờ tái xuất hiện, qua mặt hoàn toàn hệ thống quét malware. Chiến thuật này khai thác khoảng trống thời gian trong cơ chế giám sát của npm, cho phép mã độc tồn tại lâu dài mà không bị phát hiện. Vụ việc này gây ra rủi ro bảo mật đáng kể cho các dự án phụ thuộc vào các package bị nhiễm. Lập trình viên nên cân nhắc thêm các bước kiểm tra bổ sung như analysis bằng công cụ như npm audit hoặc Snyk để phát hiện hành vi đáng ngờ. Điều này cho thấy giới hạn của hệ thống tự động và nhu cầu cần thiết về nhận thức cộng đồng trong việc bảo vệ ecosystem.

Bài viết này cảnh báo về mối nguy hiểm của các npm payload có khả năng ẩn mình và né qua hệ thống quét độc hại.