O pedido de Vladkarok para verificar um snapshot mais recente do Omabump continua aberto em omacom/omarchy-plugin-marketplace#10910. Durante a revisão, HANCORE-linux identificou um hook do pacote Voxtype que lia um arquivo de transferência em um diretório temporário compartilhado sem verificar sua propriedade e aceitava um executável controlado por um invasor como inicializador do sistema.
Vladkarok confirmou o mecanismo e explicou que o mesmo hook era executado nas atualizações comuns do pacote, de modo que a correção cabia ao pacote, e não ao plugin. O autor descreveu uma alteração proposta que usaria armazenamento acessível apenas ao root e restringiria os caminhos dos executáveis restaurados, e planejou atualizar a receita fixada pelo Omabump depois que essa correção fosse incorporada. omacom/omarchy-plugin-marketplace#10910:issuecomment-6098036843 registra a resposta; a discussão fornecida não comprova a conclusão da correção no pacote.
