열린 제안

'Vladkarok'가 요청한 최신 Omabump 스냅샷 검증은 omacom/omarchy-plugin-marketplace#10910에서 아직 진행 중이다. 검토 과정에서 HANCORE-linux는 Voxtype 패키지 훅이 소유권을 확인하지 않은 채 공용 임시 디렉터리의 인계용 파일을 읽고, 공격자가 제어하는 실행 파일을 시스템 실행기로 받아들이는 문제를 발견했다.

Vladkarok는 이 동작 방식을 확인하고, 일반적인 패키지 업그레이드에서도 같은 훅이 실행되므로 플러그인이 아니라 패키지에서 수정해야 한다고 설명했다. 작성자는 root만 접근할 수 있는 저장소를 사용하고 복원되는 실행 파일의 경로를 제한하는 수정안을 설명했으며, 해당 수정이 병합된 뒤 'Omabump의 고정된 레시피'를 업데이트할 계획이라고 밝혔다. omacom/omarchy-plugin-marketplace#10910:issuecomment-6098036843에 이 답변이 기록돼 있다. 제공된 논의만으로는 패키지 수정이 완료됐다고 확인할 수 없다.