CVE-2026-35204
Helm tiene un path traversal en la versión de metadatos del plugin que permite la escritura arbitraria de archivos fuera del directorio de plugins de Helm
- Publicado
- 9 abr 2026
- Actualizado
- 15 jul 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:L/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 8,8 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Helm es un gestor de paquetes para Charts de Kubernetes. De 4.0.0 a 4.1.3, un plugin de Helm especialmente manipulado, al instalarse o actualizarse, hará que Helm escriba el contenido del plugin en una ubicación arbitraria del sistema de archivos. Para evitar esto, valide que el plugin.yaml del plugin de Helm no incluya un campo version: que contenga separadores de ruta de puntos suspensivos POSIX, es decir, "/../". Esta vulnerabilidad está corregida en 4.1.4.
Fuentes
Informe profesional de evaluación de vulnerabilidades para riesgo de path traversal en el plugin de Helm, incluyendo análisis técnico, impacto, remediación y estrategia de mitigación.
Prueba de concepto que demuestra una vulnerabilidad de recorrido de ruta (CVE-2026-35204) en la instalación de plugins de Helm, que permite la escritura arbitraria de archivos mediante metadatos de plugin manipulados.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.