漏洞总结 漏洞概述 Helm v4.1.4 发布说明中列出了三个主要的安全修复（Security fixes）： 1. GHSAl-hr2v-4r36-88hr: Helm Chart 提取输出目录折叠漏洞（Helm Chart extraction output directory collapse）。 2. GHSAl-q5jf-9f9q-hd7j: 插件验证失败漏洞（Plugin verification fails open）。 3. GHSAl-vmx8-mqv2-9qmg: 插件元数据版本中的路径遍历漏洞（Path traversal in plugin metadata version）。 影响范围 1. 目录遍历/文件覆盖: 攻击者可以通过 中的 字段包含点号段（dot-segment），导致 Helm Chart 提取的输出目录发生折叠，可能将文件提取到预期目录之外。 2. 未签名插件安装: 当缺少 参数时，插件验证机制失效，允许安装未签名的插件，可能导致恶意代码执行。 3. 任意文件写入: 插件元数据版本中的路径遍历漏洞允许攻击者在 Helm 插件目录之外写入任意文件。 修复方案 升级版本: 用户应升级到 Helm v4.1.4 版本，该版本为安全修复补丁版本。 具体修复内容 (Changelog): 修复了 Chart 点号名称路径漏洞 ( )。 修复了插件缺少签名（provenance）的绕过问题 ( )。 * 修复了插件版本路径遍历问题 ( )。