Omabump 驗證揭露 Voxtype 特權升級掛鉤的漏洞

Vladkarok 在 omacom/omarchy-plugin-marketplace#10910 中提出的新版 Omabump 快照驗證申請，目前仍未結案。審查期間，HANCORE-linux 發現 Voxtype 的套件掛鉤會從共用暫存目錄讀取交接檔案，卻未檢查檔案擁有者，並會接受攻擊者控制的可執行檔作為系統啟動器。

Vladkarok 確認了這項機制，並說明一般套件升級也會執行同一個掛鉤，因此應在套件中修正，而非在外掛中處理。作者描述了一項擬議變更，改用僅 root 可存取的儲存位置，並限制還原的可執行檔路徑，接著計畫在該修正合併後，更新 Omabump 固定使用的建置配方。omacom/omarchy-plugin-marketplace#10910:issuecomment-6098036843 記錄了這則回覆；所提供的討論無法證明套件修正已完成。