关键信息 漏洞标识: - CVE-2020-5899 漏洞简述: - 恢复密码所需的代码以明文形式在数据库中传输和存储，使得能拦截数据库连接或读取数据库的攻击者，使用其他已注册用户的邮箱地址请求密码重置并获取恢复代码 影响: - 获取恢复代码后，攻击者可以更改受害用户的密码。若受害用户为管理员，则攻击者可完全控制 NGINX Controller 系统 影响评级: - CVSSv3：7.8，属于“高”风险漏洞 受影响及不受影响的产品版本: - 建议操作: - 升级至列于“修复引入”的版本可以消除该漏洞；如果只列出较老的版本或者没有列出非易受攻击版本，那么目前没有升级选项 缓解措施: - 为连接数据库启用 SSL；或者通过安全的私有网络连接数据库；使用专用于控制器的数据库实例，防止其他用户访问数据库