jscpumonitor-bin

maintainer budbrain · 0 votes · scanned 2026-08-03 00:08:14.047287

MEDIUM

Why flagged A prebuilt proprietary binary is downloaded from the maintainer's own personal/project domain (budbrain.de) and installed directly; while the checksum is provided and the host appears to be the project's own site, it is an unverifiable third-party binary from a non-established vendor with few votes, making silent substitution a realistic supply-chain concern.

Triggered rules

MEDIUM source=() URL on a non-standard host source_untrusted_domain

One or more source=() URLs point to a host outside the trusted allowlist (github.com, gitlab.com, codeberg.org, pypi.org, …).

PKGBUILD:36 source=("https://www.budbrain.de/rpm/x86_64/${_rpm}")

LOW Few votes, recently uploaded zero_votes_recent

Uploaded within the last 14 days with 2 or fewer community votes — little peer review so far.

MEDIUM AI review llm_review

An AI model (anthropic/claude-sonnet-4.6) reviewed this and agrees it is MEDIUM (confidence 70%): A prebuilt proprietary binary is downloaded from the maintainer's own personal/project domain (budbrain.de) and installed directly; while the checksum is provided and the host appears to be the project's own site, it is an unverifiable third-party binary from a non-established vendor with few votes, making silent substitution a realistic supply-chain concern.

PKGBUILD

1 offending line(s) highlighted

      1# Maintainer: Josef Sejrek <packages@budbrain.de>
    
      2
    
      3# Warum ein -bin-Paket aus einem RPM:
    
      4#
    
      5# Die App ist proprietär, es gibt also keinen Quelltext zum Bauen. Das AUR ist
    
      6# trotzdem der richtige Ort dafür — es verteilt selbst keine Binärdateien,
    
      7# sondern nur diese Bauanleitung; heruntergeladen wird beim Nutzer, direkt von
    
      8# budbrain.de.
    
      9#
    
      10# Als Quelle dient das RPM aus dem eigenen Paket-Repo, nicht ein zusätzliches
    
      11# Archiv: eine Artefaktquelle weniger, die aus dem Tritt geraten kann. Das
    
      12# Binary darin ist gegen glibc 2.34 gelinkt und läuft damit auf Arch ohne
    
      13# Weiteres.
    
      14
    
      15pkgname=jscpumonitor-bin
    
      16pkgver=1.14
    
      17pkgrel=2
    
      18pkgdesc="Per-core CPU monitor for the Linux desktop"
    
      19arch=('x86_64')
    
      20url="https://www.budbrain.de"
    
      21license=('LicenseRef-proprietary')
    
      22depends=('gtk3' 'hicolor-icon-theme')
    
      23provides=('jscpumonitor')
    
      24conflicts=('jscpumonitor')
    
      25
    
      26# !strip ist Pflicht: makepkg strippt sonst jedes Binary im Paket. Diese App
    
      27# löst ihre Symbole im Absturzfall zur Laufzeit im eigenen Prozess auf — ohne
    
      28# Debug-Info nennt der Bericht nur noch Offsets.
    
      29options=('!strip' '!debug' '!emptydirs')
    
      30
    
      31# Release-Nummer des RPM, aus dem dieses Paket entsteht — sie steigt,
    
      32# wenn sich der Paketinhalt bei gleicher Programmversion ändert.
    
      33# update-aur.sh setzt sie aus der .spec; hier nichts von Hand ändern.
    
      34_rpmrel=2
    
      35_rpm="jscpumonitor-${pkgver}-${_rpmrel}.x86_64.rpm"
    
      36source=("https://www.budbrain.de/rpm/x86_64/${_rpm}")
    
      37noextract=("${_rpm}")
    
      38sha256sums=('a7e41815e45a5b59ac7a3f98b334844755f387a2dd9f98a46718458b1180308a')
    
      39
    
      40package() {
    
      41    # Bewusst selbst entpacken statt makepkg machen zu lassen: ob RPMs
    
      42    # automatisch extrahiert werden, hängt an der libarchive-Version.
    
      43    bsdtar -xf "${srcdir}/${_rpm}" -C "${pkgdir}"
    
      44
    
      45    # Die build-id-Verweise unter /usr/lib/.build-id sind ein Fedora-Konstrukt
    
      46    # für dessen debuginfo-Mechanismus. Auf Arch gehören sie nicht ins Paket.
    
      47    rm -rf "${pkgdir}/usr/lib/.build-id"
    
      48
    
      49    # Das RPM legt die Lizenz unter dem RPM-Paketnamen ab, Arch erwartet sie
    
      50    # unter dem Namen DIESES Pakets.
    
      51    if [[ -d "${pkgdir}/usr/share/licenses/jscpumonitor" ]]; then
    
      52        mv "${pkgdir}/usr/share/licenses/jscpumonitor" \
    
      53           "${pkgdir}/usr/share/licenses/${pkgname}"
    
      54    fi
    
      55}
    
      56

Scan history

Scanned at (UTC)	Severity	Rules
2026-08-03 00:08:14	MEDIUM	3
2026-08-02 00:16:08	MEDIUM	3
2026-08-01 00:11:18	MEDIUM	3
2026-07-31 00:14:10	MEDIUM	3
2026-07-30 00:17:23	MEDIUM	3
2026-07-29 00:25:53	MEDIUM	3
2026-07-28 00:07:28	MEDIUM	3
2026-07-27 00:24:32	MEDIUM	3
2026-07-26 15:35:22	MEDIUM	3
2026-07-26 15:32:35	MEDIUM	2