Le protocole OpenPGP permet d'inclure le nom de fichier du fichier d'entrée original dans un message signé ou crypté. Pendant le déchiffrement et la vérification, l'outil GPG peut afficher une notification incluant ce nom de fichier.

Comme ce nom de fichier affiché n'est pas contrôlé, il peut donc inclure des sauts de ligne ou d'autres caractères de contrôle. Cela peut être utilisé pour notamment injecter des commandes.

Ces commandes sont analysées par les programmes pour obtenir des informations de GPG sur la validité d'une signature. En utilisant un nom de fichier fictif dans le message, il est donc possible de falsifier les commandes. Grâce à cette technique, il est possible de tromper la vérification d'un courrier signé.

Cette vulnérabilité ne se limite pas à la sécurité du courrier électronique, puisque GnuPG est également utilisé pour sécuriser les sauvegardes, les mises à jour logicielles dans les distributions et le code source dans les systèmes de contrôle de version comme GIT.