Tänkte publicera lösningen här för alla som legat sömnlösa
Eftersom cgi:n inte vill låta sig kallas från skalet så skapade jag ett wrapper som gör checks, lägger till och drar ifrån, och sedan kallar på cgi:n med curl.
Sen skickar jag iväg resultatet genom att sätta en lämplig header, för png i detta fall, samt ekar ut curl-resultatets body.
På det viset kan jag öka säkerheten genom att bara tillåta anrop till cgi:n från localhost, om jag nu är rädd för säkerhetsbrister i cgi:n
Slutet gott, allting gott.