Omabump 验证发现以特权运行的 Voxtype 升级钩子存在漏洞

Vladkarok's 新版 Omabump 快照验证请求仍在 omacom/omarchy-plugin-marketplace#10910 中开放。审查期间，HANCORE-linux 发现 Voxtype 的一个软件包钩子会从共享临时目录读取交接文件，却不检查文件所有权，还会将攻击者控制的可执行文件接受为系统启动器。

Vladkarok 确认了这一机制，并解释说，同一钩子在常规软件包升级时也会运行，因此应修复软件包本身，而不是插件。作者描述了一项拟议改动：使用仅 root 可访问的存储位置，并限制可恢复的可执行文件路径；计划在该修复合并后，再更新 Omabump'所固定的构建配方。omacom/omarchy-plugin-marketplace#10910:issuecomment-6098036843 记录了这一回复；所提供的讨论不足以证明软件包修复已经完成。