Tin lỗ hổng, sự cố và hướng dẫn bảo mật cho người làm web, làm app bằng AI. Mỗi bài đều có nguồn và việc cần làm ngay.https://baomatai.com/vihttps://baomatai.com/agents-md-trong-thu-muc-downloads/https://baomatai.com/agents-md-trong-thu-muc-downloads/Forever Security ghi nhận một coding agent suýt cài gói npm độc chỉ vì đọc file AGENTS.md lạ nằm trong ~/Downloads, nơi trang web nào cũng ghi file vào được. Đừng chạy agent ở Downloads, và xem lại file cấu hình của Codex và Claude Code.Tue, 27 Oct 2026 12:53:16 GMTAI agentprompt injectionmã độchttps://baomatai.com/brotli-lo-hong-lan-sang-python/https://baomatai.com/brotli-lo-hong-lan-sang-python/CVE-2026-111497 (CVSS 9,2) nằm trong bộ giải nén Brotli bằng C mà Node.js, Bun, gói Brotli của Python và nhiều phần mềm khác cùng dùng. Imperva đã chạy được mã trên Node.js 24.22.0 bản chính thức. Nâng Node.js, nâng gói Brotli và brotlicffi trong Python, rồi build lại image.Tue, 27 Oct 2026 09:33:17 GMTNode.jslỗ hổngmáy chủhttps://baomatai.com/railway-lo-bien-moi-truong/https://baomatai.com/railway-lo-bien-moi-truong/Kẻ xâm nhập Railway đã giải mã được một phần biến môi trường của khách, nhưng Railway không xác định được là biến nào. Ai deploy trên Railway trước ngày 21/10 nên coi mọi key là đã lộ và đổi hết.Tue, 27 Oct 2026 07:43:13 GMThostingAPI keyrò rỉhttps://baomatai.com/du-lieu-dung-chung-doc-lai-moi-request-an-het-ram/https://baomatai.com/du-lieu-dung-chung-doc-lai-moi-request-an-het-ram/Một server dev chiếm 9,8 GB sau 2.000 request, bản chạy thật chỉ 150 MB. Gốc là mẫu lỗi chung của mọi loại server: dữ liệu dùng chung bị đọc lại ở mỗi request. Số đo từ một dự án Next.js, cách sửa và cách rà app của bạn, dùng framework nào cũng áp dụng được.Mon, 26 Oct 2026 18:19:37 GMThiệu năngbộ nhớvibe codehttps://baomatai.com/quyen-khai-bao-roi-khong-route-nao-kiem-tra/https://baomatai.com/quyen-khai-bao-roi-khong-route-nao-kiem-tra/Bảng phân quyền ghi session.manage chỉ dành cho quản trị hệ thống, còn route thu hồi phiên đăng nhập lại kiểm một quyền khác. Test quét route vẫn xanh. Cách phát hiện quyền khai báo mà không ai dùng, và một test ngược chiều để bắt nó.Mon, 26 Oct 2026 18:19:25 GMTphân quyềnkiểm thửvibe codehttps://baomatai.com/muoi-phut-dau-sau-khi-mua-vps/https://baomatai.com/muoi-phut-dau-sau-khi-mua-vps/VPS mới bị dò SSH trong vòng vài phút sau khi lên mạng. Danh sách việc làm ngay trên Ubuntu: cập nhật tự động, SSH chỉ bằng khóa, tắt đăng nhập root, ufw, cái bẫy Docker đi vòng qua ufw, và đồng hồ đúng giờ.Sun, 25 Oct 2026 19:04:21 GMTVPSmáy chủSSHhttps://baomatai.com/lo-commit-file-env-len-github/https://baomatai.com/lo-commit-file-env-len-github/Xóa file .env, xóa commit hay viết lại lịch sử đều không thu hồi được key đã lộ. Việc đầu tiên là đổi khóa, sau đó mới dọn lịch sử, quét bằng gitleaks và chặn trong CI để không lặp lại.Sun, 25 Oct 2026 19:03:30 GMTAPI keyGitHubbí mậthttps://baomatai.com/rate-limit-quen-mat-khau/https://baomatai.com/rate-limit-quen-mat-khau/Form quên mật khẩu, đăng nhập, gửi OTP không giới hạn số lần gọi thì ai cũng dùng được để spam người khác và đốt tiền email, SMS của bạn. Cách đặt rate limit theo IP, theo tài khoản, trả 429 kèm Retry-After, có code Next.js và Express.Sun, 25 Oct 2026 18:57:37 GMTrate limitđăng nhậpAPIhttps://baomatai.com/tran-chi-phi-ai-cho-app/https://baomatai.com/tran-chi-phi-ai-cho-app/Chatbot hay tính năng AI trong app mà không có trần chi phí thì chỉ cần một script gửi tin liên tục cả đêm. Cách đặt trần theo người dùng, theo ngày ngay trong code, và bật giới hạn cứng trên trang của OpenAI, Anthropic, Google.Sun, 25 Oct 2026 18:57:08 GMTAPI keychi phí AIchatbothttps://baomatai.com/php2shell-dang-bi-khai-thac/https://baomatai.com/php2shell-dang-bi-khai-thac/Hai lỗ hổng PHP CVE-2026-109618 và CVE-2026-109619 (CVSS 9,2) đang bị dò quét và khai thác trên diện rộng, có lần thử từ 17/10, trước khi bản vá ra. Không cài đặt php.ini nào chặn được hết. Kiểm tra bản PHP mà web đang chạy, vá, khởi động lại và xem log có dấu bị tấn công không.Sun, 25 Oct 2026 18:56:19 GMTPHPlỗ hổngmáy chủhttps://baomatai.com/nextcloud-code-server-bi-cai-web-shell/https://baomatai.com/nextcloud-code-server-bi-cai-web-shell/App Collabora Online Built-in CODE Server của Nextcloud dính lỗi chạy lệnh không cần đăng nhập (CVE-2026-110447, CVSS 9,2), bị khai thác từ tháng 9 và CISA đã đưa vào danh sách KEV ngày 23/10. Tắt app không đủ: nâng lên 26.4.303 trở lên hoặc gỡ hẳn, rồi tìm file PHP lạ trong thư mục app.Sun, 25 Oct 2026 18:55:32 GMTlỗ hổngmáy chủdatabasehttps://baomatai.com/container-chay-quyen-root/https://baomatai.com/container-chay-quyen-root/Dockerfile AI viết thường để app chạy bằng root, không giới hạn RAM, CPU, và có khi còn mount cả docker.sock. Sáu dòng cấu hình trong Dockerfile và docker-compose giúp một lỗ hổng trong app không biến thành mất cả máy chủ.Sat, 24 Oct 2026 18:05:04 GMTDockermáy chủhạ tầnghttps://baomatai.com/co-nguoi-bao-lo-hong-security-txt/https://baomatai.com/co-nguoi-bao-lo-hong-security-txt/Người tìm ra lỗ hổng trong app của bạn cần biết báo cho ai. Cách tạo file security.txt theo RFC 9116, hộp thư nhận báo, cam kết thời gian phản hồi, cảm ơn công khai, phân biệt báo cáo thật với email đòi tiền, và khi nào nên thuê đánh giá độc lập.Sat, 24 Oct 2026 18:03:25 GMTvận hànhlỗ hổngquy trìnhhttps://baomatai.com/laravel-token-guard-dang-nhap-bang-so-0/https://baomatai.com/laravel-token-guard-dang-nhap-bang-so-0/Lỗi CVE-2026-114509 (CVSS 9,2) trong guard token của Laravel cho người lạ đăng nhập API bằng tài khoản có sẵn, thường là admin, nếu app dùng MySQL hoặc MariaDB. Đã có mã khai thác công khai. Nâng lên 12.68.0 hoặc 13.29.0 và kiểm tra config/auth.php.Sat, 24 Oct 2026 04:05:16 GMTlỗ hổngđăng nhậpAPIdatabasehttps://baomatai.com/app-di-dong-luu-token-o-dau/https://baomatai.com/app-di-dong-luu-token-o-dau/AsyncStorage và SharedPreferences là chữ thường, ai mở được file là đọc được token. Cách lưu token bằng Keychain và Keystore, chặn sao lưu, chỉ dùng HTTPS, khi nào nên ghim chứng chỉ, che màn hình trong trình chuyển app và giữ deep link không tự làm việc nguy hiểm.Fri, 23 Oct 2026 06:57:00 GMTdi độngtokenđăng nhậphttps://baomatai.com/app-nho-co-can-chong-ddos/https://baomatai.com/app-nho-co-can-chong-ddos/App nhỏ ít khi bị DDoS thật, nhưng một script gửi vài trăm request mỗi giây là đủ làm sập VPS 1 GB hay đẩy bill serverless lên. Bốn lớp chặn rẻ: Cloudflare phía trước, giới hạn ở reverse proxy, trang tĩnh khi API quá tải, và trần chi tiêu trên serverless.Fri, 23 Oct 2026 06:57:00 GMTmáy chủDDoSCloudflarevibe codehttps://baomatai.com/bot-telegram-nut-duyet-ai-cung-bam/https://baomatai.com/bot-telegram-nut-duyet-ai-cung-bam/Nút inline trong group không chỉ admin bấm được, callback_data do client gửi lên nên sửa được, webhook không có secret thì ai cũng gọi được. Cách kiểm người bấm, giữ trạng thái ở server, và áp dụng cho bot Discord, Slack, Zalo.Fri, 23 Oct 2026 06:57:00 GMTbotphân quyềnTelegramhttps://baomatai.com/cau-tra-loi-ai-chen-ma-vao-trang/https://baomatai.com/cau-tra-loi-ai-chen-ma-vao-trang/XSS không chỉ đến từ ô bình luận. Câu trả lời của chatbot render thành HTML, markdown, tên file, link javascript: hay file CSV xuất ra đều chạy được mã của người khác. Cách nhận ra chỗ nguy hiểm trong code React, Next.js và cách sửa.Fri, 23 Oct 2026 06:57:00 GMTXSSAI agentwebhttps://baomatai.com/chung-chi-https-het-han-luc-nua-dem/https://baomatai.com/chung-chi-https-het-han-luc-nua-dem/Let's Encrypt đã ngừng gửi email nhắc hết hạn từ tháng 6/2025, và thời hạn chứng chỉ đang rút dần về 45 ngày. Cách kiểm việc tự gia hạn, đặt cảnh báo, thêm bản ghi CAA và tránh chạm giới hạn cấp chứng chỉ.Fri, 23 Oct 2026 06:57:00 GMTHTTPSmáy chủhạ tầnghttps://baomatai.com/litellm-1107-chua-ma-doc/https://baomatai.com/litellm-1107-chua-ma-doc/Bản LiteLLM 1.107.0 trên PyPI và Docker bị cài mã độc lấy key cloud, key AI, mật khẩu trình duyệt. Ai cài hay kéo image trong chiều tối 21/10 (giờ Việt Nam) cần dựng lại môi trường bằng 1.106.2 và đổi mọi khóa.Fri, 23 Oct 2026 02:52:40 GMTPyPIchuỗi cung ứngmã độcAPI keyhttps://baomatai.com/gitlab-lo-hong-10-diem/https://baomatai.com/gitlab-lo-hong-10-diem/Lỗ hổng CVE-2026-110264 cho phép người không có tài khoản chạy mã trên GitLab tự cài, có từ bản 7.0 năm 2014. Kiểm tra phiên bản, nâng lên bản vá ngày 21/10, chưa nâng được thì đóng GitLab khỏi internet.Thu, 22 Oct 2026 17:20:00 GMTGitLablỗ hổngmáy chủhttps://baomatai.com/php-va-2-lo-hong-rce/https://baomatai.com/php-va-2-lo-hong-rce/PHP 8.2 đến 8.5 vừa ra bản vá cho hai lỗ hổng cho phép chạy mã từ xa không cần đăng nhập, chỉ bằng một request gửi tới trang PHP. Lỗi xảy ra ở đâu, ai bị ảnh hưởng và nên làm gì ngay.Wed, 21 Oct 2026 15:00:00 GMTPHPlỗ hổngmáy chủhttps://baomatai.com/nodejs-va-10-lo-hong-brotli/https://baomatai.com/nodejs-va-10-lo-hong-brotli/Bản 22.23.4, 24.22.1 và 26.12.1 phát hành ngày 21/10 vá 10 lỗi, nặng nhất là lỗi ghi tràn bộ nhớ trong bộ giải nén Brotli và mấy lỗi bỏ qua kiểm tra tên miền của chứng chỉ TLS.Wed, 21 Oct 2026 14:30:00 GMTNode.jslỗ hổngmáy chủhttps://baomatai.com/goi-npm-giau-ma-trong-addon-native/https://baomatai.com/goi-npm-giau-ma-trong-addon-native/Chiến dịch MALFEX tung biến thể imgdecode, giấu trình nạp mã độc trong file .node dựng sẵn, chạy ngay khi require chứ không cần script cài đặt. Danh sách gói, dấu hiệu nhiễm trên Windows và cách xử lý.Wed, 21 Oct 2026 12:30:00 GMTnpmmã độcchuỗi cung ứnghttps://baomatai.com/zeabur-lo-3-trieu-bien-moi-truong/https://baomatai.com/zeabur-lo-3-trieu-bien-moi-truong/Nền tảng deploy Zeabur bị xâm nhập lần hai chỉ vì một token quản trị lưu dạng chữ thường, không hết hạn và không đổi suốt gần ba năm. Ai từng deploy ở đây cần đổi mọi khóa trong biến môi trường ngay.Wed, 21 Oct 2026 11:00:00 GMThostingAPI keyrò rỉhttps://baomatai.com/rank-math-pro-bi-cai-cua-hau/https://baomatai.com/rank-math-pro-bi-cai-cua-hau/Trong 11 tiếng ngày 15–16/10, ai tải hoặc cập nhật Rank Math SEO PRO 3.0.123 đều nhận bản có mã độc tạo tài khoản admin lạ và cửa hậu tự hồi sinh. Cách kiểm tra và dọn dẹp từng bước.Wed, 21 Oct 2026 09:00:00 GMTWordPresschuỗi cung ứngmã độchttps://baomatai.com/1500-goi-npm-co-the-bi-chiem/https://baomatai.com/1500-goi-npm-co-the-bi-chiem/Lỗ hổng SlugFest trong tính năng Trusted Publishing của npm cho phép kẻ khác phát hành bản mới của gói người khác chỉ bằng cách giành lại tên repo GitHub đã đổi hoặc đã xóa. npm đã vá, nhưng chủ gói vẫn nên tự kiểm tra.Wed, 21 Oct 2026 07:00:00 GMTnpmchuỗi cung ứngGitHubhttps://baomatai.com/copilot-chay-ma-doc-vi-mot-dau-cham/https://baomatai.com/copilot-chay-ma-doc-vi-mot-dau-cham/CVE-2026-103572 trong Copilot của Visual Studio và SQL Server Management Studio: nội dung độc trong repo khiến agent ghi đè file cấu hình MCP mà không hỏi người dùng, rồi IDE tự chạy lệnh của hacker.Wed, 21 Oct 2026 05:00:00 GMTAI agentprompt injectionMCPhttps://baomatai.com/nextjs-va-khan-2-lo-hong-rce/https://baomatai.com/nextjs-va-khan-2-lo-hong-rce/Next.js 16.4.1 và 15.5.28 vá hai lỗi cho phép chạy mã từ xa không cần đăng nhập, một ở bộ nhớ đệm `use cache`, một ở khâu xử lý ảnh SVG qua thư viện sharp. Kèm một lỗi làm treo server qua Server Actions.Wed, 21 Oct 2026 03:00:00 GMTNext.jslỗ hổngmáy chủhttps://baomatai.com/key-ai-bi-san-de-xai-chua/https://baomatai.com/key-ai-bi-san-de-xai-chua/Vụ OpenCode Console bị xâm nhập và mã độc Aoki lùng file cấu hình của công cụ code AI cho thấy key AI giờ là thứ đáng tiền nhất trên máy dân code. Năm việc nên làm ngay.Wed, 21 Oct 2026 02:00:00 GMTAPI keyAI agentmã độchttps://baomatai.com/ai-agent-pha-100-website/https://baomatai.com/ai-agent-pha-100-website/Reuters và NorForge phát hiện một người nói tiếng Trung dùng AI agent tự động tấn công hơn 1.200 website, xâm nhập thành công hơn 100 site, có cả John Deere và SharkNinja. Chỉ dẫn cho agent chưa tới 100 chữ.Wed, 21 Oct 2026 01:30:00 GMTAI agentwebsitetấn công