CVE-2024-58313CVE-2024-58313是xbtitFM 4.1.18版本中存在的一个高危安全漏洞，CVSS评分达到7.2。该漏洞属于不安全文件上传类别，允许具有管理权限的认证攻击者通过file_hosting功能上传恶意文件并执行任意PHP代码。xbtitFM是一个基于PHP的BitTorrent追踪器系统，广泛用于构建私有BT下载站点。攻击者利用此漏洞可以完全控制服务器，执行系统命令，窃取敏感数据，或将其作为进一步攻击的跳板。该漏洞的严重性在于其利用难度相对较低，攻击者只需拥有管理员账户即可实施攻击，且一旦成功即可获得服务器的完全控制权。漏洞影响所有使用xbtitFM 4.1.18版本的部署环境，强烈建议受影响的用户立即采取修复措施。
漏洞根源在于xbtitFM的file_hosting功能对上传文件的验证机制存在严重缺陷。系统仅依赖客户端提供的Content-Type头进行文件类型检查，而未进行服务器端的内容验证和文件签名检查。攻击者可以通过以下步骤利用此漏洞：首先，使用管理员账户登录系统并访问file_hosting上传功能；然后，构造恶意PHP文件，文件内容包含webshell代码；接着，修改HTTP请求中的Content-Type头为image/gif以绕过前端检查；再添加GIF89a魔术字节到文件开头，使文件看起来像有效的GIF图像；最后，使用替代PHP标签（如<？而非标准<?php）进一步混淆代码。系统错误地将此类文件识别为图片并存储在可访问的Web目录下。攻击者随后访问上传的文件即可触发PHP代码执行，从而在服务器上执行任意系统命令，实现远程代码执行(RCE)。由于file_hosting功能通常允许上传图片用于分享，攻击者可以轻易地将恶意文件伪装成正常图片绕过安全检测。