Đang tải bảng tin…
DevOps.com0 Hot0 bình luận8 phút đọc
Why Software Supply Chain Security Is Moving to the Gate
Malicious versions of axios get published directly to npm. May 2026: attackers forge valid provenance for 42 TanStack packages on npm.
Nguồn: https://devops.com/why-software-supply-chain-security-is-moving-to-the-gate. 8 Sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Hệ sinh thái 8 Sync
Một tài khoản, cả hệ sinh thái
Đọc tin ở đây, luyện code, học theo lộ trình và luyện IELTS trên các sản phẩm anh em — tất cả kết nối với nhau trong hệ sinh thái 8 Sync.
8syncdev.com
8syncdev.comCổng chính của hệ sinh thái: giới thiệu sản phẩm, blog và bảng giá trọn bộ.
Khám pháKhóa học
course.8syncdev.comHọc theo lộ trình rõ từng chặng: video, quiz chấm tự động, certificate và mentor đang làm nghề.
Xem lộ trìnhLuyện code
coding.8syncdev.com1.000 bài DSA, đề tiếng Việt, chấm tự động 7 ngôn ngữ — nhiều bài FREE, chạy ngay trên trình duyệt.
Luyện miễn phíIELTS
ielts.8syncdev.comChấm bốn kỹ năng IELTS bằng AI, phản hồi chi tiết theo rubric.
Dùng thử miễn phíZUS — IDE AI
zus.8syncdev.comAI IDE 22 MB cho dev Việt.
Tải miễn phímind0
mind0.8syncdev.comBộ nhớ tổ chức cho AI agent.
Khám pháAcoLeads
home-acoleads.8syncdev.comAI trực Fanpage, tự sàng lọc lead.
Dùng thửĐề xuất cho bạn
Hacker News46 Hot1 phútAI
Color Names
Dự án cung cấp không gian chứa 31,970 tên màu, mỗi cái tên được chọn bởi một cá nhân. Mỗi màu được trình bày dưới dạng thẻ màu, được treo ở vị trí tương ứng với màu sắc thực tế của nó. Dự án này được cấp phép MIT và hoàn toàn miễn phí cho người sử dụng. Đây là một nguồn tài liệu tham khảo giá trị cho các nhà phát triển thiết kế UI/UX đang cần hệ thống màu sắc đa dạng. Bạn có thể sử dụng bộ màu này để phát triển các ứng dụng web với thiết kế trực quan hấp dẫn.
Bài viết này cung cấp bộ sưu tập 31,970 tên màu độc đáo giúp bạn chọn màu sắc phù hợp cho dự án thiết kế của mình.
Node.js70 Hot5 phútAI
Node.js — Node.js 22.23.3 (LTS)
Node.js 22.23.3 là bản LTS mới nhất, tập trung vào ổn định và bảo mật cho production environment. Bản vá này khắc phục 3 vulnerability nghiêm trọng liên quan đến V8 engine và OpenSSL. Node.js 22.23.3 tối ưu hóa bộ nhớ với Garbage Collector mới, giảm 15% memory usage trong trường hợp xử lý payload lớn. Lập trình viên nên cập nhật ngay vì đây là bản LTS được hỗ trợ đến tháng 4 năm 2026. Cải tiến trong phiên bản này bao gồm cải thiện performance của streams API và fix lỗi trong zlib module.
Node.js 22.23.3 LTS mang đến những cải tiến quan trọng về hiệu năng và bảo mật cho ứng dụng JavaScript của bạn.
Hacker News22 Hot1 phútAI
Zod 4.6.6 compromised by malware?
Một lỗ h bảo mật nghiêm trọng đã được phát hiện trong phiên bản 4.6.6 của thư viện Zod, một công cụ validation schema phổ biến trong hệ sinh thái TypeScript. Nguyên nhân kỹ thuật bắt nguồn từ commit d821685, nơi mã độc đã được tiêm vào quá trình build của thư viện. Hệ quả bao gồm việc các ứng dụng sử dụng phiên bản Zod này có nguy cơ bị tấn công và thực thi mã tùy ý. Điều đáng học là việc kiểm soát chuỗi cung ứng và tính toàn vẹn của các dependency trong dự án phần mềm là yếu tố sống còn, và nhà phát triển nên cập nhật lên phiên bản 4.6.7 ngay lập tức để vá lỗ hổng này.
Lập trình viên nên đọc bài này để cập nhật lỗ bảo mật Zod 4.6.6 và ngăn chặn mã độc ảnh hưởng đến dự án của mình.
Fast, disk space efficient package manager | pnpm93 Hot9 phútAI
pnpm 12.0
pnpm phiên bản 12.0 đã được phát hành là bản ổn định sau khi viết lại toàn bộ bằng Rust. Việc viết lại này nhằm cải thiện hiệu suất và độ tin cậy mà không thay đổi giao diện người dùng. Các lệnh, cờ, cấu hình và định dạng lockfile của pnpm 11 đều được giữ nguyên, nên nâng cấp không yêu cầu thay đổi dự án hiện có. Tài liệu chính thức đồng thời mô tả cách sử dụng cả hai phiên bản, giúp nhà phát triển có thể chọn phiên bản phù hợp. Bài học từ bản phát hành này là việc viết lại bằng Rust có thể mang lại lợi thế về hiệu suất, miễn là giữ nguyên tính tương thích ngược để giảm gánh nặng chuyển đổi cho người dùng.
Lập trình viên nên đọc bài này vì pnpm 12.0 được viết lại bằng Rust mang lại hiệu năng tốt hơn trong khi vẫn giữ nguyên toàn bộ cú pháp và định dạng file lock từ phiên bản trước.
Aikido Security57 Hot4 phútAI
A Shai-Hulud npm payload came back 111 days later
Một con Shai-Hulud worm đã ẩn mình trong npm registry suốt 111 ngày rồi bất ngờ tái xuất hiện, qua mặt hoàn toàn hệ thống quét malware. Chiến thuật này khai thác khoảng trống thời gian trong cơ chế giám sát của npm, cho phép mã độc tồn tại lâu dài mà không bị phát hiện. Vụ việc này gây ra rủi ro bảo mật đáng kể cho các dự án phụ thuộc vào các package bị nhiễm. Lập trình viên nên cân nhắc thêm các bước kiểm tra bổ sung như analysis bằng công cụ như npm audit hoặc Snyk để phát hiện hành vi đáng ngờ. Điều này cho thấy giới hạn của hệ thống tự động và nhu cầu cần thiết về nhận thức cộng đồng trong việc bảo vệ ecosystem.
Bài viết này cảnh báo về mối nguy hiểm của các npm payload có khả năng ẩn mình và né qua hệ thống quét độc hại.
Node.js53 Hot7 phútAI
Node.js — Node.js 26.8.2 (Current)
Node.js 26.8.2 là bản phát hành hiện hành của nền tảng runtime JavaScript đa nền tảng này. Bản cập nhật này tập trung vào cải thiện hiệu năng và ổn định cho các ứng dụng server-side và CLI tools. Các thay đổi đáng chú ý bao gồm tối ưu hóa garbage collection và sửa lỗi trong module system. Nếu bạn đang làm việc với dự án Node.js, việc cập nhật lên phiên bản 26.8.2 sẽ mang lại lợi ích về hiệu năng và bảo mật cho ứng dụng của mình.
Bài viết này cung cấp thông tin cập nhật và đầy đủ về phiên bản Node.js 26.8.2, giúp lập trình viên nắm bắt tính năng mới và cải tiến quan trọng để tối ưu hóa ứng dụng JavaScript của mình.
BleepingComputer27 Hot3 phútAI
Malicious npm packages evade install-script defenses at runtime
Chiến dịch npm với package 'indexed-btree' cho thấy tấn công chuỗi cung ứng đang phát triển khi kẻ tấn công ẩn mã độc trong hành vi runtime bình thường của package thay vì trong install-script. Kẻ tấn lợi dụng Node.js để gọi hàm require một cách có điều kiện khi runtime, khiến công cụ scanning không phát hiện. Hậu quả là hàng ngàn máy chủ bị nhiễm malware do package này có trên 12.000 lượt tải hàng tháng. Bài này đáng học vì nó cho thấy cần thiết kế hệ thống bảo mật có khả năng phân tích hành vi runtime thay vì chỉ kiểm tra mã tại thời điểm cài đặt.
Bài viết này giúp lập trình viên nhận thức được lỗ hổng an ninh trong npm packages mà các công cụ hiện tại không phát hiện được.
Fish Food for Thought33 Hot8 phútAI
Load-Bearing People
Bài viết bắt đầu bằng việc mô tả cách một gói npm tên left-pad, chỉ gồm mười một dòng JavaScript, đã được tác giả xóa khỏi kho lưu trữ công cộng vào tháng 3/2016. Vì hàng nghìn dự án Node.js và các công cụ xây dựng phụ thuộc trực tiếp hoặc gián tiếp vào left-pad để thực hiện hàm padding chuỗi, việc xóa này khiến quá trình cài đặt và biên dịch của nhiều dự án thất bại ngay lập tức. Hậu quả lan rộng đến mức các dịch vụ web lớn như Netflix, PayPal và cả các hệ thống nội bộ của các công ty công nghệ đều gặp lỗi build, dẫn đến sự gián đoạn triển khai và trong một số trường hợp là downtime tạm thời. Bài viết nhấn mạnh rằng nguyên nhân không phải do lỗi phức tạp mà là sự quáмер phụ thuộc vào một gói nhỏ, không có bản sao lưu hoặc phiên bản dự phòng trong hệ thống quản lý phụ thuộc. Kết luận là để tránh tình trạng tương tự, các đội ngũ cần áp dụng chính sách khóa phiên bản, kiểm tra lại cây phụ thuộc và cân nhắc sao chép mã nguồn quan trọng vào nội bộ thay vì tin tưởng hoàn toàn vào gói bên ngoài.
Những dòng code làm sập Internet dạy chúng ta về tầm quan trọng của con người trong cấu trúc nhóm và trách nhiệm cá nhân.
Bình luận
Đang tải bình luận…