In ImageMagick en GraphicsMagick, twee populaire softwarebibliotheken om afbeeldingen mee te verwerken, bevindt zich een ernstige kwetsbaarheid waarmee een aanvaller websites kan overnemen door het uploaden van een afbeelding. Het lek werd ontdekt door een ontwikkelaar van GraphicsMagick.

Volgens GraphicsMagick-ontwikkelaar Bob Friesenhahn ondersteunen alle bestaande versies van GraphicsMagick en ImageMagick een syntax voor het openen van bestanden, waarbij een deel van de bestandsnaam via de shell kan worden uitgevoerd. Een aanvaller kan op deze manier willekeurige code op de webserver uitvoeren. Onlangs werd een soortgelijke kwetsbaarheid in ImageMagick ontdekt, waardoor websites ook werden aangevallen.

Volgens Friesenhahn blokkeren eerder uitgekomen patches voor GraphicsMagick aanvallen in SVG en MVG. Er zijn waarschijnlijk meerdere manieren om buiten SVG en MVG om een bestandsnaam uit te laten voeren. De eenvoudigste oplossing volgens Friesenhahn is dan ook het uitschakelen van de functie "popen" (HAVE_POPEN) die de aanval mogelijk maakt. Hiervoor heeft hij een patch ontwikkeld. De kwetsbaarheid wordt aangeduid als CVE-2016-5118.