hizawye's offener omacom/omarchy#16343 beschränkt automatisch gefundene Icons auf den Origin der endgültigen Seite und prüft Weiterleitungen, bevor deren Ziele abgerufen werden. Im Verlauf der Diskussion ergänzte hizawye eine Begrenzung der beim Seitenabruf gelesenen Daten, die Auflösung relativer Icon-Adressen anhand der endgültigen Seite und die Weitergabe von Zugangsdaten nur bei gleichem Schema, Hostnamen und effektivem Port. Für ausdrücklich vom Nutzer angegebene Icon-URLs bleibt das bisherige Verhalten bestehen.
omarchybot berichtete in omacom/omarchy#16343:issuecomment-6368320917 über eine Worker-Verifikation des zuletzt geprüften Head-Stands mit 26 gezielten Testfällen und einem echten IPv6-Server. Vorausgegangen war hizawye's Korrektur von Vergleichen, die IPv6-Klammern als Muster behandelt hatten. Eine Maintainer-Entscheidung über die rund 250 Zeilen zur URL-Verarbeitung und Überschneidungen mit anderen Icon-Änderungen steht weiterhin aus. Die Hostnamenprüfungen filtern keine privaten Adressen. Bei bewusst ausgeschlossenen CDN-Icons kann auf Google's Favicon zurückgegriffen werden.
