There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Helm is a package manager for Charts for Kubernetes. In Helm versions <=3.20.1 and <=4.1.3, a specially
    crafted Chart will cause helm pull --untar [chart URL | repo/chartname] to write the Chart's contents to
    the immediate output directory (as defaulted to the current working directory; or as given by the
    --destination and --untardir flags), rather than the expected output directory suffixed by the chart's
    name. This vulnerability is fixed in 3.20.2 and 4.1.4. (CVE-2026-35206)

リモートの SUSE Linux SLES16 / SLES_SAP16 ホストには、SUSE-SU-2026:21434-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 3.20.2 に更新してください。

    修正されたセキュリティ問題:

    - CVE-2025-55199:特別に細工された JSON スキーマにより、メモリ不足(OOM)終了(bsc#1248093)が発生する可能性があります。
    - CVE-2026-35206:特別に細工された Chart のコンテンツは、Chart の名前(bsc#1261938)で接尾辞が付いた予期された出力ディレクトリではなく、即時出力ディレクトリに抽出されます。

    その他の更新およびバグ修正:

    - バージョン 3.20.1:
      - chore(deps):k8s-io グループを 7 つの更新 a2369ca で更新します(Dependabot[bot])
      - イメージインデックステスト 90e1056 を追加(Pedro Torres 氏)
      - OCI インデックス 911f2e9 からのチャートのプルの修正(Pedro Torres 氏)
      - coalesce_test.go 76dad33 からリファクタリングの変更を削除します(Evans Mungai 氏)
      - import 45c12f7 を修正(Evans Mungai 氏)
      - pkg/chart/common/util/coalesce_test.go 26c6f19 を更新します(Evans Mungai 氏)
      - lint の警告 09f5129 を修正(Evans Mungai 氏)
      - チャートの nil 値を既に保持しています 417deb2(Evans Mungai 氏)
      - fix(values):チャートのデフォルトが空のマップ 5417bfa の場合に nil 値を保持します(Evans Mungai 氏)
    - バージョン 3.20.0:
      - SDK:k8s API バージョンを v0.35.0 に更新
      - v3 バックポート: --keep-history での helm のアンインストールが、以前のデプロイされたリリースを一時停止しないバグを修正しました #12564
      - v3 バックポート:Go のバージョンを v1.25 に更新
      - v3.20 にバージョンを更新
      - chore(deps):golang.org/x/text を 0.32.0 から 0.33.0
      - chore(deps):golang.org/x/term を 0.38.0 から 0.39.0
      - chore(deps):github.com/foxcpp/go-mockdns を 1.1.0 から 1.2.0
      - chore(deps):k8s-io グループを 7 つの更新で更新します
      - [dev-v3] 非推奨の「NewSimpleClientset」を置換
      - [dev-v3] Go v1.25、「golangci-lint」v2 を更新します
      - chore(deps):github.com/BurntSushi/toml を 1.5.0 から 1.6.0
      - chore(deps):github.com/containerd/containerd を 1.7.29 から 1.7.30
      - 修正(ロールバック):「エラー。文字列 comp の代わりに Is'
      - 修正(アンインストール):配備されたリリースを置き換えます
      - リリースで Go の最新パッチリリースを使用します
      - chore(deps):golang.org/x/crypto を 0.45.0 から 0.46.0
      - chore(deps):golang.org/x/text を 0.31.0 から 0.32.0
      - chore(deps):golang.org/x/term を 0.37.0 から 0.38.0
      - chore(deps):github.com/spf13/cobra を 1.10.1 から 1.10.2
      - chore(deps):github.com/rubenv/sql-migrate を 1.8.0 から 1.8.1
      - chore(deps):golang.org/x/crypto を 0.44.0 から 0.45.0
      - chore(deps):github.com/cyphar/filepath-securejoin を増やします
      - chore(deps):golang.org/x/text を 0.30.0 から 0.31.0
      - chore(deps):golang.org/x/crypto を 0.43.0 から 0.44.0
      - dev-v3「helm-latest-version」パブリッシュを削除します
      - chore(deps):golang.org/x/term を 0.36.0 から 0.37.0 1.7.28 へと更新します 1.7.29
      - pkg/registry を戻します:メモリで TLS 構成を受け渡すためのログインオプション
      - jsonschema:未解決の URN $ref を警告し、無視し、v3.18.4 を一致させます
      - リポジトリの URL による「helm pull」untar dir チェックを修正します
      - chore(deps):golang.org/x/crypto を 0.42.0 から 0.43.0
      - chore(deps):github.com/gofrs/flock を 0.12.1 から 0.13.0
      - chore(deps):golang.org/x/text を 0.29.0 から 0.30.0
      - [バックポート] 修正:get-helm-3 スクリプトは helm3-latest-version を使用します
      - pkg/registry:メモリで TLS 構成を受け渡すためのログインオプション
      - 廃止の警告を修正します
      - chore(deps):golang.org/x/crypto を 0.41.0 から 0.42.0
      - chore(deps):golang.org/x/term を 0.34.0 から 0.35.0
      - パニックを回避:インターフェイス変換:インターフェイス {} が nil です
      - v3.19.0 にバージョンを更新
      - chore(deps):github.com/spf13/pflag を 1.0.7 から 1.0.10
      - 修正:レジストリでリポジトリオーソライザーを設定します。Client.Resolve()
      - null マージを修正
      - タイムアウトフラグを repo に追加 フラグを追加および更新
    - バージョン 3.19.5:
      - オーバーライドを通じてサブチャートの値を削除すると警告が表示されるバグを修正しました #31118
      - --keep-history での helm アンインストールが、以前のデプロイされたリリースを一時停止しないバグを修正しました #12556
      - 修正(ロールバック):エラー。文字列 comp 4a19a5b の代わりにです(Hidde Beydals 氏)
      - 修正(アンインストール):デプロイされたリリース 7a00235 に置き換えられます(Hidde Beydals 氏)
      - null マージ 578564e を修正(Ben Foster 氏)
    - バージョン 3.19.4:
      - リリース 7cfb6e4 で Go の最新パッチリリースを使用します(Matt Farina 氏)
      - chore(deps):github.com/gofrs/flock を 0.12.1 から 0.13.0 59c951f へ更新します(Dependabot[bot])
      - chore(deps):d45f3f1 github.com/cyphar/filepath-securejoin を増やします
      - chore(deps):golang.org/x/crypto を 0.44.0 から 0.45.0 d459544 へ更新します(Dependabot[bot])
      - chore(deps):golang.org/x/term を 0.36.0 から 0.37.0 becd387 に更新します(Dependabot[bot])
      - chore(deps):k8s-io グループを 7 つの更新で更新します edb1579
    - バージョン 3.19.3:
      - golang.org/x/crypto を v0.45.0 に更新
    - バージョン 3.19.2:
      - [バックポート] 修正:get-helm-3 スクリプトは helm3-latest-version 8766e71 を使用(George Jenkins 氏)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21983-1 アドバイザリで言及されています。

    - CVE-2026-33814:golang.org/x/net/http2:不良なSETTINGS_MAX_FRAME_SIZEが与えられた場合の HTTP/2 トランスポートの無限ループ(bsc#1265758)。
    - CVE-2026-35204:github.com/helm/helm:helm.sh/helm/v4:Helm:特別に細工されたプラグインによる任意のファイルの書き込み(bsc#1261939)。
    - CVE-2026-35205:github.com/helm/helm:helm.sh/helm/v4:Helm:プラグインの出所の検証が不十分なことによる任意のコードの実行(bsc#1261935)。
    - CVE-2026-35206:github.com/helm/helm:helm:特別に細工された Chart を介して予期しないディレクトリに書き込まれたファイル(bsc#1261938)。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage,go.opentelemetry.io/otel/propagation:手荷物解析で raw-length ヘッダーを拒否しないため、サイズが大きすぎる入力を介した DoS が可能になります(bsc#1276510)。
    - CVE-2026-41888:github.com/distribution/distribution/v3:タグの削除が storage.delete.enabled 構成をバイパスします(bsc#1265428)。
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: 悪意のあるレジストリがベアラートークンレルムをハイジャックし、認証情報を盗み出し、トークンをリフレッシュする可能性があります(bsc#1270127)。
    - CVE-2026-50151:oras-go:blob アップロード中の検証されていない Location ヘッダーを介した認証情報の転送(bsc#1271660)。
    - CVE-2026-50163:oras-go:細工された tarball ハードリンクによる情報漏洩と任意のファイルアクセス(bsc#1276327)。
    - CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1271997)。
    - CVE-2026-56854:golang.org/x/crypto/ssh:5 コールバックファミリーにおけるソースアドレス制限のバイパス(bsc#1281426)。
    - CVE-2026-56855:golang.org/x/crypto/ssh:デッドロックの確立されたチャネル(bsc#1281426)で DoS を阻止します。
    - CVE-2026-56864:x/mod/sumdb:検索で無関係の認証されていないハッシュを無視します(bsc#1275025)。
    - CVE-2026-56865:x/mod/sumdb/tlog:透過ログタイル検証のバイパスを修正します(bsc#1275024)。
    - CVE-2026-78662:golang.org/x/crypto/ssh:デッドロックの未決定チャネルでの DoS を防止します(bsc#1281426)。
    - CVE-2026-81871:go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc:OpenTelemetry-Go:TLS証明書のバイパスにより、ログテレメトリの傍受および変更(bsc#1281468)が可能になります。
    - CVE-2026-81872:go.opentelemetry.io/otel/sdk/log:OpenTelemetry-Go:攻撃者が主導するログエミッションによるサービス拒否(bsc#1281469)。
    - CVE-2026-85732:oras.land/oras-go/v2:ページネーションの未検証のリンクヘッダー URL を通じたブラインド SSRF により、内部ネットワークのプローブが可能になります(bsc#1281112)。
    - gRPC-Go:xDS RBAC 承認エンジンおよび HTTP/2 トランスポートサーバーの実装(bsc#1276514)に影響を与える複数の問題。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES16 / SLES_SAP16 ホストには、SUSE-SU-2026:23984-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-33814:golang.org/x/net/http2:不良なSETTINGS_MAX_FRAME_SIZEが与えられた場合の HTTP/2 トランスポートの無限ループ(bsc#1265758)。
    - CVE-2026-35204:github.com/helm/helm:helm.sh/helm/v4:Helm:特別に細工されたプラグインによる任意のファイルの書き込み(bsc#1261939)。
    - CVE-2026-35205:github.com/helm/helm:helm.sh/helm/v4:Helm:プラグインの出所の検証が不十分なことによる任意のコードの実行(bsc#1261935)。
    - CVE-2026-35206:github.com/helm/helm:helm:特別に細工された Chart を介して予期しないディレクトリに書き込まれたファイル(bsc#1261938)。
    - CVE-2026-41178:go.opentelemetry.io/otel/baggage,go.opentelemetry.io/otel/propagation:手荷物解析で raw-length ヘッダーを拒否しないため、サイズが大きすぎる入力を介した DoS が可能になります(bsc#1276510)。
    - CVE-2026-41888:github.com/distribution/distribution/v3:タグの削除が storage.delete.enabled 構成をバイパスします(bsc#1265428)。
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: 悪意のあるレジストリがベアラートークンレルムをハイジャックし、認証情報を盗み出し、トークンをリフレッシュする可能性があります(bsc#1270127)。
    - CVE-2026-50151:oras-go:blob アップロード中の検証されていない Location ヘッダーを介した認証情報の転送(bsc#1271660)。
    - CVE-2026-50163:oras-go:細工された tarball ハードリンクによる情報漏洩と任意のファイルアクセス(bsc#1276327)。
    - CVE-2026-56852:golang.org/x/text/unicode/norm:切り捨てられた/無効な UTF-8 入力での無限ループ(bsc#1271997)。
    - CVE-2026-56854:golang.org/x/crypto/ssh:5 コールバックファミリーにおけるソースアドレス制限のバイパス(bsc#1281426)。
    - CVE-2026-56855:golang.org/x/crypto/ssh:デッドロックの確立されたチャネル(bsc#1281426)で DoS を阻止します。
    - CVE-2026-56864:x/mod/sumdb:検索で無関係の認証されていないハッシュを無視します(bsc#1275025)。
    - CVE-2026-56865:x/mod/sumdb/tlog:透過ログタイル検証のバイパスを修正します(bsc#1275024)。
    - CVE-2026-78662:golang.org/x/crypto/ssh:デッドロックの未決定チャネルでの DoS を防止します(bsc#1281426)。
    - CVE-2026-81871:go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc:OpenTelemetry-Go:TLS証明書のバイパスにより、ログテレメトリの傍受および変更(bsc#1281468)が可能になります。
    - CVE-2026-81872:go.opentelemetry.io/otel/sdk/log:OpenTelemetry-Go:攻撃者が主導するログエミッションによるサービス拒否(bsc#1281469)。
    - CVE-2026-85732:oras.land/oras-go/v2:ページネーションの未検証のリンクヘッダー URL を通じたブラインド SSRF により、内部ネットワークのプローブが可能になります(bsc#1281112)。
    - gRPC-Go:xDS RBAC 承認エンジンおよび HTTP/2 トランスポートサーバーの実装(bsc#1276514)に影響を与える複数の問題。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20655-1 アドバイザリで言及されています。

    バージョン 3.20.2 に更新してください。

    セキュリティ発行 固定:

    - CVE-2025-55199:特別に設計されたJSONスキーマはメモリ外(OOM)終端(bsc#1248093)を引き起こすことがあります。
    - CVE-2026-35206:特別に作成されたチャートでは、内容がチャート名(bsc#1261938)で付いた期待される出力ディレクトリではなく、即時の出力ディレクトリに抽出されます。

    その他の更新およびバグ修正:

    - バージョン 3.20.1:
      - 雑用(DEPS):K8S-IOグループを7つのアップデートで押し上げる a2369ca(dependabot[bot])
      - 画像インデックステスト 90e1056(ペドロ・T?rres)
      - OCIインデックス911f2e9(Pedro T?rres)からチャートを抽出する修正
      - coalesce_test.go 76dad33(エヴァンス・マンガイ)からのリファクタリング変更を削除
      - Fix import 45c12f7(エヴァンス・ムンガイ)
      - 更新:pkg/chart/common/util/coalesce_test.go 26c6f19(エヴァンス・マンガイ)
      - Fix lint warning 09f5129(エヴァンス・マンガイ)
      - チャートですでに417deb2のニル値を保持(エヴァンス・マンガイ)
      - 修正(値):チャートのデフォルトが空のマップ5417bfa(エヴァンス・マンガイ)の場合、nil値を保持する
    - バージョン 3.20.0:
      - SDK:k8s APIバージョンをv0.35.0にアップ
      - v3 バックポート: --keep-history でヘルムアンインストールしても以前のデプロイリリースが停止されなかったバグを修正 #12564
      - v3 バックポート:Bump Go バージョンから v1.25
      - v3.20へのバンプバージョン
      - 雑事(DEPS): 0.32.0 から golang.org/x/text の上昇 0.33.0
      - 家事(DEPS): 0.38.0 から golang.org/x/term への昇格 0.39.0
      - 雑事(DEPS): 1.1.0 から github.com/foxcpp/go-mockdns への昇進 1.2.0
      - 雑用(DEPS):K8S-IOグループを7回のアップデートで減らす
      - [dev-v3] 廃止された「NewSimpleClientset」を置き換える
      - [dev-v3] Bump Go v1.25, 'golangci-lint' v2
      - 雑事(DEPS): 1.5.0 から github.com/BurntSushi/toml に増やす 1.6.0
      - 雑事(DEPS): 1.7.29 から github.com/containerd/containerd への昇進 1.7.30
      - 修正(ロールバック): 'エラー。文字列合成の代わりにIs'
      - 修正(アンインストール):デプロイされたリリースを置き換える
      - Goの最新パッチを使い、リリースを更新すること
      - 家事(DEPS): 0.45.0 から golang.org/x/crypto へのバンプ 0.46.0
      - 雑事(DEPS): 0.31.0 から golang.org/x/text の上昇 0.32.0
      - 家事(DEPS): 0.37.0 から golang.org/x/term への昇格 0.38.0
      - 雑事(DEPS): 1.10.1 から github.com/spf13/cobra へのバンプ 1.10.2
      - 雑事(DEPS): 1.8.0 から github.com/rubenv/sql-migrate に昇格 1.8.1
      - 家事(DEPS): 0.44.0 から golang.org/x/crypto へのバンプ 0.45.0
      - 家事(DEPS):バンプ github.com/cyphar/filepath-securejoin
      - 雑事(DEPS): 0.30.0 から golang.org/x/text の上昇 0.31.0
      - 家事(DEPS): 0.43.0 から golang.org/x/crypto へのバンプ 0.44.0
      - dev-v3 'helm-latest-version' publishを削除
      - 雑事(DEPS): 0.36.0 から 0.37.0 1.7.28 golang.org/x/term にバンプ 1.7.29
      - Revert pkg/registry:TLS設定をメモリに渡すためのログインオプション
      - jsonschema: v3.18.4に合わせて未解決のURN $ref を警告し無視
      - リポジトリURLで「helm pull」untar dirチェックを修正する
      - 家事(DEPS): 0.42.0 から golang.org/x/crypto へのバンプ 0.43.0
      - 家事(DEPS): 0.12.1 から github.com/gofrs/flock に引き上げる 0.13.0
      - 雑事(DEPS): 0.29.0 から golang.org/x/text の上昇 0.30.0
      - [バックポート] 修正:get-helm-3スクリプトをhelm3-latest-version使用してください
      - pkg/registry:TLS設定をメモリに渡すためのログインオプション
      - 修正:非推奨警告
      - 家事(DEPS): 0.41.0 から golang.org/x/crypto へのバンプ 0.42.0
      - 家事(DEPS): 0.34.0 から golang.org/x/term への昇格 0.35.0
      - パニック回避:インターフェース変換:インターフェース{}はnilです
      - v3.19.0へのバンプバージョン
      - 雑事(DEPS): 1.0.7 から github.com/spf13/pflag へのバンプ 1.0.10
      - 修正:レジストリにリポジトリオージョライザーを設定してください。Client.Resolve()
      - ヌルマージの修正
      - リポジトリのフラグを追加・更新するためのタイムアウトフラグの追加
    - バージョン 3.19.5:
      - オーバーライドでサブチャート値を除去すると警告が出たバグを修正 #31118
      - --keep-history でヘルムアンインストールしても以前のデプロイリリースが停止されなかったバグを修正 #12556
      - 修正(ロールバック):エラー。弦合成の代わりに 4a19a5b(ヒッデ・ベイダル)
      - 修正(アンインストール):Supersedeがリリース7a00235(Hidde Beydals)をデプロイしました
      - 修正 null merge 578564e(ベン・フォスター)
    - バージョン 3.19.4:
      - リリース7cfb6e4(Matt Farina)でGoの最新パッチリリースを使用。
      - 雑事(DEPS): 0.12.1 から 0.13.0 59C951F(dependabot[bot])への増 github.com/gofrs/flock
      - 家事(DEPS):github.com/cyphar/filepath-securejoin D45F3F1 の増幅
      - 雑務(DEPS): 0.44.0 から 0.45.0 D459544へ golang.org/x/crypto アップ(dependabot[bot])
      - 雑事(DEPS): 0.36.0 から 0.37.0 BECD387への golang.org/x/term 上げ(dependabot[bot])
      - Chore(DePS):7つのアップデートでK8S-IOグループを削減 edb1579
    - バージョン 3.19.3:
      - golang.org/x/crypto をv0.45.0にアップ
    - バージョン 3.19.2:
      - [backport] 修正:get-helm-3スクリプトをhelm3-latest-version 8766e71(ジョージ・ジェンキンス)使用してください。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:1483-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-55199細工された JSON スキーマにより、メモリ不足OOM終了が引き起こされる可能性がありますbsc#1248093。
    - CVE-2026-35206特別に細工されたチャートを介して予期しないディレクトリに書き込まれたファイルbsc#1261938。

    helm の変更

    - バージョン 3.20.2 への更新

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLES16 / SLES_SAP16 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:21434-1 advisory.

    Update to version 3.20.2.

    Security issued fixed:

    - CVE-2025-55199: specially crafted JSON Schema can lead to out of memory (OOM) termination (bsc#1248093).
    - CVE-2026-35206: specially crafted Chart will have contents extracted to immediate output directory     rather than to       expected output directory suffixed by the Chart's name (bsc#1261938).

    Other updates and bugfixes:

    - Version 3.20.1:
      - chore(deps): bump the k8s-io group with 7 updates a2369ca (dependabot[bot])
      - add image index test 90e1056 (Pedro Torres)
      - fix pulling charts from OCI indices 911f2e9 (Pedro Torres)
      - Remove refactorring changes from coalesce_test.go 76dad33 (Evans Mungai)
      - Fix import 45c12f7 (Evans Mungai)
      - Update pkg/chart/common/util/coalesce_test.go 26c6f19 (Evans Mungai)
      - Fix lint warning 09f5129 (Evans Mungai)
      - Preserve nil values in chart already 417deb2 (Evans Mungai)
      - fix(values): preserve nil values when chart default is empty map 5417bfa (Evans Mungai)
    - Version 3.20.0:
      - SDK: bump k8s API versions to v0.35.0
      - v3 backport: Fixed a bug where helm uninstall with --keep-history did not suspend previous deployed     releases #12564
      - v3 backport: Bump Go version to v1.25
      - bump version to v3.20
      - chore(deps): bump golang.org/x/text from 0.32.0 to 0.33.0
      - chore(deps): bump golang.org/x/term from 0.38.0 to 0.39.0
      - chore(deps): bump github.com/foxcpp/go-mockdns from 1.1.0 to 1.2.0
      - chore(deps): bump the k8s-io group with 7 updates
      - [dev-v3] Replace deprecated `NewSimpleClientset`
      - [dev-v3] Bump Go v1.25, `golangci-lint` v2
      - chore(deps): bump github.com/BurntSushi/toml from 1.5.0 to 1.6.0
      - chore(deps): bump github.com/containerd/containerd from 1.7.29 to 1.7.30
      - fix(rollback): `errors.Is` instead of string comp
      - fix(uninstall): supersede deployed releases
      - Use latest patch release of Go in releases
      - chore(deps): bump golang.org/x/crypto from 0.45.0 to 0.46.0
      - chore(deps): bump golang.org/x/text from 0.31.0 to 0.32.0
      - chore(deps): bump golang.org/x/term from 0.37.0 to 0.38.0
      - chore(deps): bump github.com/spf13/cobra from 1.10.1 to 1.10.2
      - chore(deps): bump github.com/rubenv/sql-migrate from 1.8.0 to 1.8.1
      - chore(deps): bump golang.org/x/crypto from 0.44.0 to 0.45.0
      - chore(deps): bump github.com/cyphar/filepath-securejoin
      - chore(deps): bump golang.org/x/text from 0.30.0 to 0.31.0
      - chore(deps): bump golang.org/x/crypto from 0.43.0 to 0.44.0
      - Remove dev-v3 `helm-latest-version` publish
      - chore(deps): bump golang.org/x/term from 0.36.0 to 0.37.0 1.7.28 to 1.7.29
      - Revert pkg/registry: Login option for passing TLS config in memory
      - jsonschema: warn and ignore unresolved URN $ref to match v3.18.4
      - Fix `helm pull` untar dir check with repo urls
      - chore(deps): bump golang.org/x/crypto from 0.42.0 to 0.43.0
      - chore(deps): bump github.com/gofrs/flock from 0.12.1 to 0.13.0
      - chore(deps): bump golang.org/x/text from 0.29.0 to 0.30.0
      - [backport] fix: get-helm-3 script use helm3-latest-version
      - pkg/registry: Login option for passing TLS config in memory
      - Fix deprecation warning
      - chore(deps): bump golang.org/x/crypto from 0.41.0 to 0.42.0
      - chore(deps): bump golang.org/x/term from 0.34.0 to 0.35.0
      - Avoid panic: interface conversion: interface {} is nil
      - bump version to v3.19.0
      - chore(deps): bump github.com/spf13/pflag from 1.0.7 to 1.0.10
      - fix: set repo authorizer in registry.Client.Resolve()
      - fix null merge
      - Add timeout flag to repo add and update flags
    - Version 3.19.5:
      - Fixed bug where removing subchart value via override resulted in warning #31118
      - Fixed bug where helm uninstall with --keep-history did not suspend previous deployed releases #12556
      - fix(rollback): errors.Is instead of string comp 4a19a5b (Hidde Beydals)
      - fix(uninstall): supersede deployed releases 7a00235 (Hidde Beydals)
      - fix null merge 578564e (Ben Foster)
    - Version 3.19.4:
      - Use latest patch release of Go in releases 7cfb6e4 (Matt Farina)
      - chore(deps): bump github.com/gofrs/flock from 0.12.1 to 0.13.0 59c951f (dependabot[bot])
      - chore(deps): bump github.com/cyphar/filepath-securejoin d45f3f1
      - chore(deps): bump golang.org/x/crypto from 0.44.0 to 0.45.0 d459544 (dependabot[bot])
      - chore(deps): bump golang.org/x/term from 0.36.0 to 0.37.0 becd387 (dependabot[bot])
      - chore(deps): bump the k8s-io group with 7 updates edb1579
    - Version 3.19.3:
      - Bump golang.org/x/crypto to v0.45.0
    - Version 3.19.2:
      - [backport] fix: get-helm-3 script use helm3-latest-version 8766e71 (George Jenkins)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21983-1 advisory.

    - CVE-2026-33814: golang.org/x/net/http2: infinite loop in HTTP/2 transport when given bad     SETTINGS_MAX_FRAME_SIZE       (bsc#1265758).
    - CVE-2026-35204: github.com/helm/helm: helm.sh/helm/v4: Helm: Arbitrary file write via specially crafted     plugin       (bsc#1261939).
    - CVE-2026-35205: github.com/helm/helm: helm.sh/helm/v4: Helm: Arbitrary code execution due to     insufficient plugin       provenance verification (bsc#1261935).
    - CVE-2026-35206: github.com/helm/helm: Helm: Files written to unexpected directory via specially crafted     Chart       (bsc#1261938).
    - CVE-2026-41178: go.opentelemetry.io/otel/baggage,go.opentelemetry.io/otel/propagation: no rejection of     raw-length       headers in baggage parsing allows for DoS via oversized inputs (bsc#1276510).
    - CVE-2026-41888: github.com/distribution/distribution/v3: tag deletion bypasses the     storage.delete.enabled       configuration (bsc#1265428).
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: Malicious registry can hijack Bearer token     realm to       exfiltrate credentials and refresh tokens (bsc#1270127).
    - CVE-2026-50151: oras-go: Credential forwarding via unvalidated Location header during blob upload     (bsc#1271660).
    - CVE-2026-50163: oras-go: Information disclosure and arbitrary file access via crafted tarball hardlinks     (bsc#1276327).
    - CVE-2026-56852: golang.org/x/text/unicode/norm: infinite loop on truncated/invalid UTF-8 input     (bsc#1271997).
    - CVE-2026-56854: golang.org/x/crypto/ssh: source-address restriction bypassed in 5 callback families     (bsc#1281426).
    - CVE-2026-56855: golang.org/x/crypto/ssh: prevent DoS on deadlocked established channel (bsc#1281426).
    - CVE-2026-56864: x/mod/sumdb: ignore unrelated, unauthenticated hashes in Lookup (bsc#1275025).
    - CVE-2026-56865: x/mod/sumdb/tlog: fix transparency log tile verification bypass (bsc#1275024).
    - CVE-2026-78662: golang.org/x/crypto/ssh: prevent DoS on deadlocked undecided channel (bsc#1281426).
    - CVE-2026-81871: go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc: OpenTelemetry-Go: TLS     certificate bypass       allows log telemetry interception and alteration (bsc#1281468).
    - CVE-2026-81872: go.opentelemetry.io/otel/sdk/log: OpenTelemetry-Go: Denial of Service via attacker-     driven log emission       (bsc#1281469).
    - CVE-2026-85732: oras.land/oras-go/v2: blind SSRF via unvalidated Link header URL in pagination allows     internal network       probing (bsc#1281112).
    - gRPC-Go: several issues affecting the xDS RBAC authorization engine and the HTTP/2 transport server     implementation       (bsc#1276514).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES16 / SLES_SAP16 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:23984-1 advisory.

    - CVE-2026-33814: golang.org/x/net/http2: infinite loop in HTTP/2 transport when given bad     SETTINGS_MAX_FRAME_SIZE       (bsc#1265758).
    - CVE-2026-35204: github.com/helm/helm: helm.sh/helm/v4: Helm: Arbitrary file write via specially crafted     plugin       (bsc#1261939).
    - CVE-2026-35205: github.com/helm/helm: helm.sh/helm/v4: Helm: Arbitrary code execution due to     insufficient plugin       provenance verification (bsc#1261935).
    - CVE-2026-35206: github.com/helm/helm: Helm: Files written to unexpected directory via specially crafted     Chart       (bsc#1261938).
    - CVE-2026-41178: go.opentelemetry.io/otel/baggage,go.opentelemetry.io/otel/propagation: no rejection of     raw-length       headers in baggage parsing allows for DoS via oversized inputs (bsc#1276510).
    - CVE-2026-41888: github.com/distribution/distribution/v3: tag deletion bypasses the     storage.delete.enabled       configuration (bsc#1265428).
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: Malicious registry can hijack Bearer token     realm to       exfiltrate credentials and refresh tokens (bsc#1270127).
    - CVE-2026-50151: oras-go: Credential forwarding via unvalidated Location header during blob upload     (bsc#1271660).
    - CVE-2026-50163: oras-go: Information disclosure and arbitrary file access via crafted tarball hardlinks     (bsc#1276327).
    - CVE-2026-56852: golang.org/x/text/unicode/norm: infinite loop on truncated/invalid UTF-8 input     (bsc#1271997).
    - CVE-2026-56854: golang.org/x/crypto/ssh: source-address restriction bypassed in 5 callback families     (bsc#1281426).
    - CVE-2026-56855: golang.org/x/crypto/ssh: prevent DoS on deadlocked established channel (bsc#1281426).
    - CVE-2026-56864: x/mod/sumdb: ignore unrelated, unauthenticated hashes in Lookup (bsc#1275025).
    - CVE-2026-56865: x/mod/sumdb/tlog: fix transparency log tile verification bypass (bsc#1275024).
    - CVE-2026-78662: golang.org/x/crypto/ssh: prevent DoS on deadlocked undecided channel (bsc#1281426).
    - CVE-2026-81871: go.opentelemetry.io/otel/exporters/otlp/otlplog/otlploggrpc: OpenTelemetry-Go: TLS     certificate bypass       allows log telemetry interception and alteration (bsc#1281468).
    - CVE-2026-81872: go.opentelemetry.io/otel/sdk/log: OpenTelemetry-Go: Denial of Service via attacker-     driven log emission       (bsc#1281469).
    - CVE-2026-85732: oras.land/oras-go/v2: blind SSRF via unvalidated Link header URL in pagination allows     internal network       probing (bsc#1281112).
    - gRPC-Go: several issues affecting the xDS RBAC authorization engine and the HTTP/2 transport server     implementation       (bsc#1276514).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:1483-1 advisory.

    - CVE-2025-55199: crafted JSON Schema can lead to out of memory (OOM) termination (bsc#1248093).
    - CVE-2026-35206: files written to unexpected directory via specially crafted Chart(bsc#1261938).

    Changes for helm:

    - Update to version 3.20.2

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20655-1 advisory.

    Update to version 3.20.2.

    Security issued fixed:

    - CVE-2025-55199: specially crafted JSON Schema can lead to out of memory (OOM) termination (bsc#1248093).
    - CVE-2026-35206: specially crafted Chart will have contents extracted to immediate output directory     rather than to       expected output directory suffixed by the Chart's name (bsc#1261938).

    Other updates and bugfixes:

    - Version 3.20.1:
      - chore(deps): bump the k8s-io group with 7 updates a2369ca (dependabot[bot])
      - add image index test 90e1056 (Pedro T?rres)
      - fix pulling charts from OCI indices 911f2e9 (Pedro T?rres)
      - Remove refactorring changes from coalesce_test.go 76dad33 (Evans Mungai)
      - Fix import 45c12f7 (Evans Mungai)
      - Update pkg/chart/common/util/coalesce_test.go 26c6f19 (Evans Mungai)
      - Fix lint warning 09f5129 (Evans Mungai)
      - Preserve nil values in chart already 417deb2 (Evans Mungai)
      - fix(values): preserve nil values when chart default is empty map 5417bfa (Evans Mungai)
    - Version 3.20.0:
      - SDK: bump k8s API versions to v0.35.0
      - v3 backport: Fixed a bug where helm uninstall with --keep-history did not suspend previous deployed     releases #12564
      - v3 backport: Bump Go version to v1.25
      - bump version to v3.20
      - chore(deps): bump golang.org/x/text from 0.32.0 to 0.33.0
      - chore(deps): bump golang.org/x/term from 0.38.0 to 0.39.0
      - chore(deps): bump github.com/foxcpp/go-mockdns from 1.1.0 to 1.2.0
      - chore(deps): bump the k8s-io group with 7 updates
      - [dev-v3] Replace deprecated `NewSimpleClientset`
      - [dev-v3] Bump Go v1.25, `golangci-lint` v2
      - chore(deps): bump github.com/BurntSushi/toml from 1.5.0 to 1.6.0
      - chore(deps): bump github.com/containerd/containerd from 1.7.29 to 1.7.30
      - fix(rollback): `errors.Is` instead of string comp
      - fix(uninstall): supersede deployed releases
      - Use latest patch release of Go in releases
      - chore(deps): bump golang.org/x/crypto from 0.45.0 to 0.46.0
      - chore(deps): bump golang.org/x/text from 0.31.0 to 0.32.0
      - chore(deps): bump golang.org/x/term from 0.37.0 to 0.38.0
      - chore(deps): bump github.com/spf13/cobra from 1.10.1 to 1.10.2
      - chore(deps): bump github.com/rubenv/sql-migrate from 1.8.0 to 1.8.1
      - chore(deps): bump golang.org/x/crypto from 0.44.0 to 0.45.0
      - chore(deps): bump github.com/cyphar/filepath-securejoin
      - chore(deps): bump golang.org/x/text from 0.30.0 to 0.31.0
      - chore(deps): bump golang.org/x/crypto from 0.43.0 to 0.44.0
      - Remove dev-v3 `helm-latest-version` publish
      - chore(deps): bump golang.org/x/term from 0.36.0 to 0.37.0 1.7.28 to 1.7.29
      - Revert pkg/registry: Login option for passing TLS config in memory
      - jsonschema: warn and ignore unresolved URN $ref to match v3.18.4
      - Fix `helm pull` untar dir check with repo urls
      - chore(deps): bump golang.org/x/crypto from 0.42.0 to 0.43.0
      - chore(deps): bump github.com/gofrs/flock from 0.12.1 to 0.13.0
      - chore(deps): bump golang.org/x/text from 0.29.0 to 0.30.0
      - [backport] fix: get-helm-3 script use helm3-latest-version
      - pkg/registry: Login option for passing TLS config in memory
      - Fix deprecation warning
      - chore(deps): bump golang.org/x/crypto from 0.41.0 to 0.42.0
      - chore(deps): bump golang.org/x/term from 0.34.0 to 0.35.0
      - Avoid panic: interface conversion: interface {} is nil
      - bump version to v3.19.0
      - chore(deps): bump github.com/spf13/pflag from 1.0.7 to 1.0.10
      - fix: set repo authorizer in registry.Client.Resolve()
      - fix null merge
      - Add timeout flag to repo add and update flags
    - Version 3.19.5:
      - Fixed bug where removing subchart value via override resulted in warning #31118
      - Fixed bug where helm uninstall with --keep-history did not suspend previous deployed releases #12556
      - fix(rollback): errors.Is instead of string comp 4a19a5b (Hidde Beydals)
      - fix(uninstall): supersede deployed releases 7a00235 (Hidde Beydals)
      - fix null merge 578564e (Ben Foster)
    - Version 3.19.4:
      - Use latest patch release of Go in releases 7cfb6e4 (Matt Farina)
      - chore(deps): bump github.com/gofrs/flock from 0.12.1 to 0.13.0 59c951f (dependabot[bot])
      - chore(deps): bump github.com/cyphar/filepath-securejoin d45f3f1
      - chore(deps): bump golang.org/x/crypto from 0.44.0 to 0.45.0 d459544 (dependabot[bot])
      - chore(deps): bump golang.org/x/term from 0.36.0 to 0.37.0 becd387 (dependabot[bot])
      - chore(deps): bump the k8s-io group with 7 updates edb1579
    - Version 3.19.3:
      - Bump golang.org/x/crypto to v0.45.0
    - Version 3.19.2:
      - [backport] fix: get-helm-3 script use helm3-latest-version 8766e71 (George Jenkins)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
455254	Echo: helm.sh/helm/v3: security update to 3.20.2	Tenable Cloud Security	Echo Local Security Checks	2026/10/1	2026/10/5	medium
455254	Echo: helm.sh/helm/v3: security update to 3.20.2	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/1	2026/10/5	medium
440164	SCA: security update for helm.sh/helm/v3, helm.sh/helm/v4 (GHSA-hr2v-4r36-88hr)	Tenable Cloud Security	SCA Checks	2026/4/10	2026/7/2	medium
440164	SCA: security update for helm.sh/helm/v3, helm.sh/helm/v4 (GHSA-hr2v-4r36-88hr)	Tenable Self-Hosted Container Security	SCA Checks	2026/4/10	2026/7/2	medium
312134	SUSE SLES16:helm / helm-bash-completion / helm-fish-completion / など(SUSE-SU-2026:21434-1)	Nessus	SuSE Local Security Checks	2026/5/5	2026/9/25	medium
362531	openSUSE 16:helm / helm-bash-completion / helm-fish-completion / etc(openSUSE-SU-2026:21983-1)	Nessus	SuSE Local Security Checks	2026/10/2	2026/10/2	high
363069	SUSE SLES16:helm / helm-bash-completion / helm-fish-completion / など(SUSE-SU-2026:23984-1)	Nessus	SuSE Local Security Checks	2026/10/6	2026/10/6	high
312145	openSUSE 16 セキュリティアップデート:helm(openSUSE-SU-2026:20655-1)	Nessus	SuSE Local Security Checks	2026/5/5	2026/5/5	medium
307885	SUSE SLES15 セキュリティ更新helmSUSE-SU-2026:1483-1]	Nessus	SuSE Local Security Checks	2026/4/21	2026/4/21	medium
312134	SUSE SLES16: helm / helm-bash-completion / helm-fish-completion / etc (SUSE-SU-2026:21434-1)	Nessus	SuSE Local Security Checks	2026/5/5	2026/9/25	medium
362531	openSUSE 16: helm / helm-bash-completion / helm-fish-completion / etc (openSUSE-SU-2026:21983-1)	Nessus	SuSE Local Security Checks	2026/10/2	2026/10/2	high
363069	SUSE SLES16: helm / helm-bash-completion / helm-fish-completion / etc (SUSE-SU-2026:23984-1)	Nessus	SuSE Local Security Checks	2026/10/6	2026/10/6	high
307885	SUSE SLES15 Security Update : helm (SUSE-SU-2026:1483-1)	Nessus	SuSE Local Security Checks	2026/4/21	2026/4/21	medium
312145	openSUSE 16 Security Update : helm (openSUSE-SU-2026:20655-1)	Nessus	SuSE Local Security Checks	2026/5/5	2026/5/5	medium

检测

插件搜索

medium

medium

medium

medium

medium

high

high

medium

medium

medium

high

high

medium

medium