جزئیات آسیب‌پذیری

CVE-2026-35205

helm helm

Helm's plugin verification fails open when .prov is missing, allowing unsigned plugin install

CVSS 4.0

8.4بالا

شرح رسمی (انگلیسی)

Helm is a package manager for Charts for Kubernetes. From 4.0.0 to 4.1.3, Helm will install plugins missing provenance (.prov file) when signature verification is required. This vulnerability is fixed in 4.1.4.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
8.4بالا	4.0	CVEProject cvelistV5 (CNA) (GitHub_M)	`CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`
8.0بالا	3.1	CVEProject cvelistV5 (CNA) (redhat-SADP)	`CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
helm	helm	>= 4.0.0, < 4.1.4	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/helm/helm/security/advisories/GHSA-q5jf-9vfq-h4h7 x_refsource_CONFIRM
https://github.com/helm/helm/commit/05fa37973dc9e42b76e1d2883494c87174b6074f x_refsource_MISC
https://github.com/helm/helm/releases/tag/v4.1.4 x_refsource_MISC
https://helm.sh/docs/topics/provenance/#the-provenance-file x_refsource_MISC
https://access.redhat.com/security/cve/CVE-2026-35205 vdb-entryx_refsource_REDHAT
https://bugzilla.redhat.com/show_bug.cgi?id=2456927 issue-trackingx_refsource_REDHAT
https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-35205.json x_sadp-csaf-vex
https://access.redhat.com/errata/RHSA-2026:26441 vendor-advisoryx_refsource_REDHAT

هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۱/۲۰
آخرین به‌روزرسانی: ۱۴۰۵/۰۴/۲۴
وضعیت: منتشرشده
صادرکننده (CNA): GitHub_M

پیش‌بینی بهره‌برداری (EPSS)

۰٫۲۲٪

احتمال بهره‌برداری در ۳۰ روز

۱۲٫۷٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی: خیر
وضعیت بهره‌برداری: ندارد
اثر فنی: کامل

ضعف‌ها (CWE)

CWE-636
Not Failing Securely ('Failing Open')
CWE-347
Improper Verification of Cryptographic Signature