Vulnerabilidad en ImageMagick (CVE-2026-25965)

ImageMagick es un software libre y de código abierto utilizado para editar y manipular imágenes digitales. Antes de las versiones 7.1.2-15 y 6.9.13-40, la política de seguridad de ruta de ImageMagick se aplica sobre la cadena de nombre de archivo sin procesar antes de que el sistema de archivos la resuelva. Como resultado, una regla de política como /etc/* puede ser eludida mediante un salto de ruta. El sistema operativo resuelve el salto de ruta y abre el archivo sensible, pero el comparador de políticas solo ve la ruta no normalizada y por lo tanto permite la lectura. Esto permite la divulgación de archivos locales (LFI) incluso cuando se aplica policy-secure.xml. Se han tomado medidas para evitar la lectura de archivos en las versiones .7.1.2-15 y 6.9.13-40. Pero para asegurarse de que la escritura tampoco sea posible, se debe añadir lo siguiente a la política de uno. Esto también se incluirá en las políticas más seguras de ImageMagick por defecto.