#v8

Optimizing objects with null prototypes

V8 engine gặp vấn đề khi đối tượng với __proto__: null bị mắc kẹt ở dictionary mode. …

Electron 43

Electron 43 vừa ra mắt với Chromium 150.0.7871.46, Node.js v24.17.0 và V8 15.0, cải thiện hiệu suất khởi động ứng dụng nhờ snapshot và bytecode caching, hỗ trợ cửa sổ không viền có góc bo tròn trên Linux, API quản lý thông báo mới trên macOS, và tải xuống mặc định vào thư mục Downloads. Phiên bản này cũng đánh dấu chấm dứt hỗ trợ binary 32-bit (Windows x86, Linux ARM) và có một số thay đổi phá vỡ (breaking changes) như chuẩn hóa pixel nativeImage sang SRGB.

Lập trình viên cần đọc bài này để cập nhật kiến thức về các cải tiến hiệu suất khởi động ứng dụng và tính năng mới như cửa sổ không khung trên Linux, quản lý thông báo macOS, và các thay đổi quan trọng về API như loại bỏ showHiddenFiles trên Linux để tránh rủi ro về tính bảo mật và tương thích.

When Agentic Glue Melts: Exploiting Cloudflare Code Mode and Workers

Nghiên cứu mới của nhóm phát hiện lỗ hổng trong Cloudflare Code Mode và Workers, cho phép khai thác khi "Agentic Glue" (thành phần kết nối hệ thống) bị phá vỡ. Lỗ hổng này có thể bị lợi dụng để thực thi mã tùy ý trên môi trường đám mây.

Một lập trình viên cần đọc bài này để hiểu cách các lỗ hổng bảo mật trong Cloudflare Workers và Code Mode có thể được khai thác, giúp họ nâng cao kiến thức về bảo mật cloud và phòng ngừa các rủi ro trong triển khai ứng dụng trên nền tảng này.

The V8 JavaScript Runtime Undermined My Constant-Time JavaScript Library

Bối cảnh của bài viết đề cập đến vấn đề side-channel attacks trong ứng dụng mật mã mà tác giả đã chia sẻ cách tránh chúng 6 năm trước. Nguyên nhân kỹ thuật là các tối ưu hóa của V8 JavaScript runtime đã vô tình phá vỡ tính constant-time trong thư viện mật mã. Hệ quả là mã được cho là an toàn về mặt thời gian thực thi lại trở nên dễ bị tấn công qua kênh bên. Điều đáng học là ngay cả khi lập trình viên cố gắng viết mã constant-time, các runtime optimization có thể vô tình phá vỡ đảm bảo bảo mật này, đòi hỏi phải hiểu sâu về cách hoạt động của engine JavaScript như V8.

Bài viết này giúp lập trình viên nhận thức được cách V8 JavaScript Runtime ảnh hưởng đến tính bảo mật của thư viện constant-time code.

Google patches multiple Chrome bugs including a V8 flaw being used in attacks

Google vá lỗi Chrome lần thứ sáu trong năm được exploit vào ngày 3 tháng 9, bao gồm lỗ hổng V8 đang bị tấn công. Nguyên nhân kỹ thuật do lỗi trong V8 engine xử lý JavaScript cho phép thực thi mã từ xa. Hệ quả là kẻ tấn công có thể chiếm hoàn toàn hệ thống nạn nhân chỉ bằng việc mở tab trình duyệt web. Điều đáng học là tốc độ vá lỗi nhanh cho thấy Google đang đẩy mạnh bảo mật trước khi Cyber Resilience Act có hiệu lực vào ngày 11 tháng 9, buộc các nhà cung cấp phải vá lỗi trong vòng 24 giờ.

Lập trình viên nên đọc bài này để cập nhật lỗ hổng V8 nghiêm trọng đang bị khai thác và thời hạn tuân thủ Đạo luật Sức mạng Mạng sắp tới.

Breaking the Seal: Static Deobfuscation of JSCeal’s Compiled V8 Bytecode

Latest Research by our Team

A revisit of remote Spectre attacks on Cloudflare Workers

In 2024 and 2025, we reassessed remote Spectre attacks on our Workers infrastructure. We share details about the new attack primitives like Spectre gadgets, remote timers, achieving co-location and how new defenses further harden Cloudflare Workers.