Im Kern beruht die Schwachstelle auf einem Unterschied zwischen der Dateiprüfung durch WordPress und der Verarbeitung durch ImageMagick. Wie Patchstack erklärt, orientiert sich WordPress bei verschiedenen Dateitypen an der Dateiendung, während ImageMagick den tatsächlichen Inhalt untersucht. Wird eine hochgeladene Datei anhand ihrer Endung an ImageMagick übergeben, prüft dieses den Inhalt und ruft Ghostscript auf, wenn darin PostScript erkannt wird.
Genau daraus ergibt sich der Angriffsweg: Ein Angreifer kann laut Patchstack eine PNG-Datei hochladen, die tatsächlich PostScript enthält. Ghostscript verarbeitet diesen Inhalt dann als PostScript-Programm. Zwar verfügt WordPress über eine Funktion zur Inhaltsprüfung, doch nach Angaben von Patchstack greifen manche Upload-Methoden nicht auf diese Kontrolle zurück. Dadurch wird die Ausnutzung möglich.
WordPress selbst weist darauf hin, dass die Schwachstelle nur Installationen betrifft, die Imagick und Ghostscript verwenden. Entdeckt wurde das Problem demnach in Ghostscripts Umgang mit bestimmten eingebetteten Dateien. Für eine erfolgreiche Ausnutzung ist außerdem erforderlich, dass der Angreifer überhaupt Dateien hochladen darf. Betroffen sind also nicht anonyme Besucher, sondern authentifizierte Nutzer mit mindestens Autor-Rechten.
Die Korrektur in WordPress 7.0.4 setzt an der Dateiübergabe an. Nach Angaben der Maintainer wurde die Funktion load() so geändert, dass der Dateiinhalt geprüft wird, bevor die Datei an Imagick weitergereicht wird. Das soll die Ausführung von PostScript verhindern. Zusätzlich unterbindet der Fix einen weiteren Angriffsweg, bei dem Dateinamen dazu genutzt werden könnten, Imagick zur Verwendung von Ghostscript zu veranlassen.
WordPress teilte mit: „WordPress-Version 7.0.4 wurde veröffentlicht und enthält eine Behebung der Schwachstelle; als Entgegenkommen gegenüber Nutzern älterer Entwicklungszweige wurde die Korrektur in alle Zweige bis zurück zu 4.7 übernommen.“ Damit steht der Fix nicht nur für die aktuelle Version bereit, sondern auch für eine breite Basis älterer Installationen.
Patchstack hält das Risiko insbesondere in Umgebungen mit mehreren Autoren für realistisch. Wörtlich heißt es sinngemäß, dass in Mehr-Autoren-Publikationen, Mitgliedschaftsseiten, Kundenseiten mit Mitwirkenden oder generell bei offener oder locker verwalteter Registrierung die Gefahr durch einen Autor, der ein präpariertes „Bild“ hochlädt, nicht nur theoretisch sei. Die Schwachstelle wird als CVE-2026-65640 geführt und mit einem CVSS-Wert von 8,8 als hoch eingestuft.