CVE-2026-34753

总结

vLLM 是一个用于大型语言模型（LLM）的推理与服务引擎。在 0.16.0 至 0.19.0 之前的版本中，`download_bytes_from_url` 存在一个服务器端请求伪造（SSRF）漏洞，允许任何能够控制批量输入 JSON 的行为者，使 vLLM 批量运行器从服务器发起任意的 HTTP/HTTPS 请求，且没有任何 URL 验证或域名限制。该漏洞可被用于访问从 vLLM 主机可达的内部服务（例如云元数据端点或内部 HTTP API）。此漏洞已在 0.19.0 版本中修复。

• CVE-2026-34753PoC

  CVE-2026-34753 的概念验证漏洞利用程序，用于演示该漏洞及其潜在影响。