一、 漏洞 CVE-2026-23634 基础信息
漏洞信息
# Pepr 管理模式下 RBAC 权限过大漏洞
## 概述
Pepr 是一个类型安全的 Kubernetes 中间件。在版本 1.0.5 之前，默认采用 cluster-admin RBAC 配置，且未强制模块作者遵循最小权限原则。
## 影响版本
1.0.5 之前的版本。
## 细节
Pepr 在 1.0.5 之前默认配置为 cluster-admin 权限，以简化初始使用体验，允许新用户无需预先配置 RBAC 即可动态创建资源。该设计未强制执行最小权限原则，也未明确要求模块作者限制权限。
## 影响
默认的高权限配置可能导致模块运行时拥有超出实际需要的集群权限，增加潜在安全风险。该问题已在 1.0.5 版本中修复。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Pepr Overly Permissive RBAC ClusterRole in Admin Mode
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Pepr is a type safe K8s middleware. Prior to 1.0.5 , Pepr defaults to a cluster-admin RBAC configuration and does not explicitly force or enforce least-privilege guidance for module authors. The default behavior exists to make the “getting started” experience smooth: new users can experiment with Pepr and create resources dynamically without needing to pre-configure RBAC. This vulnerability is fixed in 1.0.5.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
最小特权原则违背
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2026-23634 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2026-23634 的情报信息
标题： Release v1.0.5 · defenseunicorns/pepr · GitHub -- 🔗来源链接
标签：x_refsource_MISC
神龙速读：## 关键漏洞信息 - **版本**: v1.0.5 - **发布日期**: 2026-01-15 - **修复内容**: - 添加了日志警告并更新了默认管理员模式的文档 (#2883) (d4675a6) - **相关提交**: d4675a6 - **与漏洞相关的问题**: #2883 ``` 从截图中可以看到，版本v1.0.5主要涉及一个Bug修复，即为默认管理员模式添加了日志警告并更新了相关文档。这说明可能在早期版本中存在与默认管理员模式相关的潜在漏洞或安全风险，通过此次更新得到了改进。具体的漏洞详情和修复措施可参考相关提交(d4675a6)和问题(#2883)。
标题： Overly Permissive RBAC ClusterRole in Admin Mode · Advisory · defenseunicorns/pepr · GitHub -- 🔗来源链接
标签：x_refsource_CONFIRM
神龙速读：### 漏洞关键信息 #### 概要 - **漏洞名称**: Overly Permissive RBAC ClusterRole in Admin Mode - **漏洞ID**: GHSA-w54x-r83c-x79q, CVE-2026-23634 - **严重性**: Low #### 影响范围 - **受影响版本**: <=1.0.4 - **修复版本**: 1.0.5 - **包**: 无包列出 #### 描述 - **目标路径**: /workspace/pepr/src/lib/assets/rbac.ts - **端点**: Kubernetes RBAC 配置 - **方法**: 部署 #### 响应/理由 - Pepr 默认将 `rbacMode` 设为 "admin"，以便新用户能够无需理解或预配置 RBAC 规则即可部署和运行默认的 `hello-pepr.ts` 模块。 - `hello-pepr.ts` 仅作为演示用途，不应在生产环境中使用。 - 如果用户未仔细阅读文档且未使用 `npm pepr build` 选项，可能会部署具有比所需特权更广泛的模块。 #### 漏洞利用方式 - 该漏洞本身不是传统意义上的可利用 CVE，而是因 Pepr 默认使用 cluster-admin RBAC 配置而被标记。 - 默认行为是为了提供顺畅的“入门”体验，允许新用户无需预先配置 RBAC 即可实验和动态创建资源。 #### 修复方案 - 使用命令 `npx pepr build --rbac-mode=scoped` 部署生产环境前适当调整 RBAC 范围。 - 这将生成控制器/观察器所需的最小 RBAC，任何额外权限需基于模块执行的特定 Kubernetes 资源和 CRUD 操作进行添加。
- https://nvd.nist.gov/vuln/detail/CVE-2026-23634
四、漏洞 CVE-2026-23634 的评论
暂无评论