crawl4ai /llm/job 服务器端请求伪造漏洞

crawl4ai 是一个用于网页内容抓取与处理的Python库，提供智能网页内容提取、AI驱动的内容分析等功能，广泛应用于自动化数据采集、内容监控和AI增强的爬虫场景。该产品内置的Docker API服务器存在服务器端请求伪造漏洞，/llm/job 接口未对用户提供的 base_url 参数进行充分验证，攻击者可构造恶意URL使服务器将LLM提供商API密钥发送至攻击者控制的服务器。成功利用可导致攻击者窃取所有LLM提供商密钥及服务器敏感环境变量。