#GitHub
2 bài
API keyLỡ commit file .env lên GitHub, xóa đi vẫn chưa xong
Xóa file .env, xóa commit hay viết lại lịch sử đều không thu hồi được key đã lộ. Việc đầu tiên là đổi khóa, sau đó mới dọn lịch sử, quét bằng gitleaks và chặn trong CI để không lặp lại.
npmHơn 1.500 gói npm có thể bị chiếm mà không cần mật khẩu
Lỗ hổng SlugFest trong tính năng Trusted Publishing của npm cho phép kẻ khác phát hành bản mới của gói người khác chỉ bằng cách giành lại tên repo GitHub đã đổi hoặc đã xóa. npm đã vá, nhưng chủ gói vẫn nên tự kiểm tra.