从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. 漏洞描述： - 用户可以指定 参数来发送请求到 。 - 应用程序将请求发送到由 指定的域。 - 这个请求包含 OpenAI API 密钥。 - 恶意用户可以设置 到自己的域并调用 来拦截和窃取 OpenAI API 密钥。 2. 漏洞利用： - 1. 启动 ngrok 服务器。 - 2. 复制 ngrok 服务器地址（例如： ）。 - 3. 启动 litellm 代理。 - 4. 发送 curl 请求。 - 5. 确认 ngrok 日志（ ）。 3. 影响： - SSRF 漏洞导致 OpenAI 密钥泄漏。 - 如果攻击者利用此漏洞，他们可以直接向 OpenAI 发送请求，绕过代理的速率限制和预算管理控制，可能导致未经授权的使用和增加成本。 - 还有与盲 SSRF 相关的常见风险，如扫描内部网络。 4. 参考： - Server-Side Request Forgery Prevention Cheat Sheet - What is SSRF (Server-side request forgery)? 5. CVE： - CVE-2024-6587 - (已发布) 6. 漏洞类型： - CWE-918: Server-Side Request Forgery (SSRF) 7. 严重性： - 高（7.5） 8. 受影响版本： - 1.38.10 9. 可见性： - 公开 10. 状态： - 已修复 11. 披露奖金： - $750 12. 修复奖金： - $187.5 13. 发现者： - Tsubasa Irisawa (@lambdasawa) 14. 修复者： - Ishaan Jaff (@ishaan-jaff) 15. CVE-2024-6587 已分配给此报告。 16. CVE-2024-6587 已发布。 17. Ishaan Jaff 已评论。 18. David Manouchehri 已评论。 19. CVE-2024-6587 已发布。 20. 提交报告： - 提交报告按钮 这些信息提供了关于漏洞的详细描述、利用方法、影响、参考资源、CVE、严重性、受影响版本、可见性、状态、披露和修复奖金、发现者和修复者、CVE分配、发布、评论和提交报告的链接。