Der Antrag von Vladkarok, einen neueren Omabump-Snapshot zu verifizieren, ist in omacom/omarchy-plugin-marketplace#10910 weiterhin offen. Bei der Prüfung entdeckte HANCORE-linux einen Voxtype-Paket-Hook, der eine Übergabedatei aus einem gemeinsam genutzten temporären Verzeichnis las, ohne deren Eigentümer zu prüfen, und eine von Angreifern kontrollierte ausführbare Datei als systemweiten Launcher akzeptierte.
Vladkarok bestätigte den Mechanismus und erklärte, dass derselbe Hook auch bei gewöhnlichen Paket-Upgrades ausgeführt werde. Die Korrektur gehöre daher in das Paket und nicht in das Plugin. Der Autor beschrieb eine vorgeschlagene Änderung, die ausschließlich für root zugänglichen Speicher nutzt und die Pfade wiederhergestellter ausführbarer Dateien einschränkt. Nach Übernahme dieser Korrektur sollte das in Omabump festgeschriebene Build-Rezept aktualisiert werden. omacom/omarchy-plugin-marketplace#10910:issuecomment-6098036843 dokumentiert die Antwort; die vorliegende Diskussion belegt keinen Abschluss der Paketkorrektur.
