آسیب‌پذیری امنیتی ابزار گرافیکی Open Source ImageMagick که در تعداد زیادی از وب‌سایت‌ها مورد استفاده قرار می‌گیرد، ممکن است موجب Payload مخرب در سایت گردد.
بررسی‌ها نشان می‌دهد که ImageMagick به عنوان یک مجموعه Open Source از ابزارهای کار با تصاویر گرافیکی، که در تعداد زیادی از وب‌سایت‌ها مورد استفاده قرار می‌گیرد، شامل یک آسیب‌پذیری امنیتی جدی می‌باشد و سایت‌هایی را که با این نرم‌افزار کار می‌کنند در معرض خطر اجرای کدهای مخرب قرار داده است. کارشناسان امنیتی این رفتار را بسیار ساده در نظر گرفته و آن را جزئی و کم‌اهمیت می‌خوانند و این روند همچنان به طور طبیعی در جریان است. اما بزرگترین ریسک این آسیب پذیری ImageMagick، برای سایت‌هایی می‌باشد که امکان آپلود فایل تصاویر را در اختیار کاربران قرار می‌دهد.
اطلاعات مربوط به موضوع آسیب‌پذیری طی روزهای اخیر توسط Ryan Huber، توسعه‌دهنده و محقق در زمینه امنیت در دسترس عموم قرار گرفت. وی عنوان کرد که گزینه‌ای در دست ندارد جز اینکه در مورد Exploit بنویسد.
وی اظهار داشت که طبق تشخیص و بررسی‌های انجام شده، این آسیب پذیری ImageMagick برای همه افراد وجود دارد مگر افرادی که آن را شناسایی کرده باشند. این موضوع از نظر تعداد نامشخصی از افراد مطلع از این آسیب‌پذیری‌ها، برای همه کاربران این نرم‌افزار مهم تلقی می‌گردد.
او در ادامه عنوان کرد که این Bug توسط وی شناسایی نشده است و طبق نظر Ars Technica، این مشکل را Nikolay Ermishkin یکی دیگر از محققان امنیتی کشف نموده است.
Attackerها، جهت استفاده از این Exploit، یک فایل با پسوند gif, .jpg. و یا هر یک از 200 پسوند دیگری که توسط این نرم‌افزار پشتیبانی می‌شود را به همراه فایلی که در واقع دارای فرمت دیگری است آپلود می‌کنند. پاسخ ImageMagick به پسوند فایل اشتباه این است که فایل را به یک فرمت میانی (Intermediate) تبدیل می‌کند که در نتیجه موجب اجرای کد در سرور وب‌سایت مورد نظر می‌گردد.
اگرچه هنوز هیچ Patchی برای این گونه آسیب‌پذیری‌ها ارائه نشده است و احتمالا درک درستی از عمق این آسیب‌پذیری حاصل نشده است، Huber به ارائه دو راهکار کوتاه مدت و احتمالا ناقص می‌پردازد که وب‌سایت‌ها می توانند در صورت استفاده از این نرم‌افزار، جهت کاهش آسیب‌پذیری‌شان از آن‌ها استفاده نمایند.
در مرحله اول ، وب‌سایت‌ها باید در مورد برنامه‌ای تحت عنوان Bytes Magic جستجو نمایند تا با استفاده از چند بایت اولیه فایل، نوع آن را شناسایی نموده و سپس تایید کنند که فرمت واقعی و اصلی فایل تصویری آپلود‌شده با پسوندها تطابق دارد یا خیر.
اقداماتی از قبیل ارائه راهکارهای موقتی یا حتی ایجاد Patchهای امنیتی که در نهایت توسط توسعه‌دهندگان ImageMagick ارائه می‌گردند، مستلزم وجود اپراتورهایی برای وب‌سایت است که اجرای کدهای آسیب‌پذیر را شناسایی کنند؛ که البته شاید همیشه این موضوع مطرح نباشد. با توجه به اینکه ImageMagick تحت License نسخه Apache 2.0 می‌باشد، امکان دارد که کدهای آن بدون اطلاع اپراتور وب‌سایت به عنوان بخشی از برنامه اختصاصی اجرا شوند.
