CVE-2026-23952ImageMagick是一款免费开源的图像处理软件，广泛应用于图像格式转换、编辑和操作。2026年1月披露的安全漏洞影响ImageMagick 14.10.1及以下版本。该漏洞存在于MSL（Magick Scripting Language）脚本解析器中，当处理<script>标签或<comment>标签时，在图像加载之前触发NULL指针解引用。在调试构建版本中可导致断言失败（assertion failure），在发布版本中可导致空指针解引用，最终引发拒绝服务（DoS）攻击。攻击者可通过构造恶意MSL脚本文件，诱导目标系统处理该文件，从而造成应用程序崩溃。由于该漏洞利用无需特殊权限且可通过网络触发，危害性较高。建议受影响的用户尽快升级到14.10.2或更高版本以修复此安全问题。
该漏洞的根本原因在于ImageMagick的MSL（Magick Scripting Language）解析器在处理<script>和<comment>标签时存在空指针解引用问题。当解析器在图像加载之前遇到<comment>标签时，会尝试访问尚未初始化的指针，导致NULL指针解引用。具体来说：1）MSL解析器在处理<script>标签时会创建图像上下文；2）当解析器遇到<comment>标签时，它试图在图像对象尚未完全初始化的情况下访问其成员；3）在调试版本中，这会触发assert()失败；在发布版本中，直接解引用NULL指针导致程序崩溃。攻击者可以通过创建一个包含恶意<comment>标签的MSL脚本文件（如.mvg或.msl文件），并诱导ImageMagick处理该文件来触发漏洞。由于漏洞位于解析器层面，任何使用ImageMagick处理不可信图像输入的应用都可能受到影响。