vLLM 默认 CORS 来源过于宽松，允许跨域请求其 HTTP 服务器

GitHub 安全公告 GHSA-vvpg-rrww-wpmh 披露 vLLM 的 OpenAI 兼容服务器默认将 Starlette CORSMiddleware 的 allowed_origins 设为 ["*"]。