xbtitFM 4.1.18 には、不正なファイルアップロードの脆弱性が存在します。この脆弱性により、認証された管理者権限を持つ攻撃者が file_hosting 機能を通じて任意の PHP コードをアップロードして実行できます。攻撃者は、Content-Type ヘッダーを image/gif に変更し、GIF89a マジックバイトを追加し、代替の PHP タグを使用することでファイルタイプの制限を回避し、システムコマンドを実行するウェブシェルをアップロードすることが可能です。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。