CVE-2026-35204

Helm versões 4.0.0 através de 4.1.3 Descrição Helm, um gerenciador de pacotes para Charts do Kubernetes, contém uma falha onde um plugin malicioso, durante a instalação ou atualização, pode escrever arquivos em locais arbitrários no sistema de arquivos. Isso ocorre porque o campo version dentro do arquivo plugin.yaml não possui validação, permitindo o uso de separadores de caminho POSIX dot-dot (por exemplo, "/../"). Isso pode permitir que um autor de plugin malicioso escreva arquivos fora do diretório de plugin pretendido. O problema é resolvido na versão 4.1.4, que adiciona validação de versionamento semântico ao campo version.

Recomendações Atualize para a versão 4.1.4 do Helm. Examine os arquivos plugin.yaml no seu diretório de plugins Helm (helm env HELM PLUGINS) e verifique se os campos version não contêm caracteres incomuns como barras ou pontos de versionamento não semânticos. Instale apenas plugins de fontes confiáveis.