【漏洞预警】Blinko 插件安装路径可写出目录外，官方镜像上可容器内 root 执行（CVE-2026-108980）

Blinko 1.8.8 及更早版本的 installPlugin 用未消毒的插件名拼接目录，可以把文件写到插件目录之外。官方镜像以 root 运行，覆盖启动相关文件后可在容器内取得 root（CVE-2026-108980，CVSS 8.8）。任意已认证用户都能调用该接口；开放自助注册时暴露面更大。Hub 上最新发行标签仍是 1.8.8，目前没有已发布的修复版本。