jssysinfo-bin

MEDIUM

maintainer orphaned 0 votes scanned 2026-09-17 00:27:14.276658

View on AUR

Why flagged

A prebuilt proprietary binary is downloaded from a personal/project domain (budbrain.de) and installed directly; while the SHA256 checksum is provided and the host appears to be the project's own site, it is an unverifiable third-party binary from a low-trust, non-whitelisted personal host with few votes and a recent upload, making silent substitution a realistic concern.

Triggered rules

Medium source=() URL on a non-standard host source_untrusted_domain

One or more source=() URLs point to a host outside the trusted allowlist (github.com, gitlab.com, codeberg.org, pypi.org, …).

PKGBUILD:36 source=("https://www.budbrain.de/rpm/x86_64/${_rpm}")

Medium AI review llm_review

An AI model (anthropic/claude-sonnet-4.6) reviewed this and agrees it is MEDIUM (confidence 70%): A prebuilt proprietary binary is downloaded from a personal/project domain (budbrain.de) and installed directly; while the SHA256 checksum is provided and the host appears to be the project's own site, it is an unverifiable third-party binary from a low-trust, non-whitelisted personal host with few votes and a recent upload, making silent substitution a realistic concern.

PKGBUILD

1 offending line(s) highlighted

      1# Maintainer: Josef Sejrek <packages@budbrain.de>
    
      2
    
      3# Warum ein -bin-Paket aus einem RPM:
    
      4#
    
      5# Die App ist proprietär, es gibt also keinen Quelltext zum Bauen. Das AUR ist
    
      6# trotzdem der richtige Ort dafür — es verteilt selbst keine Binärdateien,
    
      7# sondern nur diese Bauanleitung; heruntergeladen wird beim Nutzer, direkt von
    
      8# budbrain.de.
    
      9#
    
      10# Als Quelle dient das RPM aus dem eigenen Paket-Repo, nicht ein zusätzliches
    
      11# Archiv: eine Artefaktquelle weniger, die aus dem Tritt geraten kann. Das
    
      12# Binary darin ist gegen glibc 2.34 gelinkt und läuft damit auf Arch ohne
    
      13# Weiteres.
    
      14
    
      15pkgname=jssysinfo-bin
    
      16pkgver=1.10
    
      17pkgrel=1
    
      18pkgdesc="System tray monitor for CPU, GPU, temperature, network, memory and swap"
    
      19arch=('x86_64')
    
      20url="https://www.budbrain.de"
    
      21license=('LicenseRef-proprietary')
    
      22depends=('gtk3' 'hicolor-icon-theme' 'libayatana-appindicator')
    
      23provides=('jssysinfo')
    
      24conflicts=('jssysinfo')
    
      25
    
      26# !strip ist Pflicht: makepkg strippt sonst jedes Binary im Paket. Diese App
    
      27# löst ihre Symbole im Absturzfall zur Laufzeit im eigenen Prozess auf — ohne
    
      28# Debug-Info nennt der Bericht nur noch Offsets.
    
      29options=('!strip' '!debug' '!emptydirs')
    
      30
    
      31# Release-Nummer des RPM, aus dem dieses Paket entsteht — sie steigt,
    
      32# wenn sich der Paketinhalt bei gleicher Programmversion ändert.
    
      33# update-aur.sh setzt sie aus der .spec; hier nichts von Hand ändern.
    
      34_rpmrel=1
    
      35_rpm="jssysinfo-${pkgver}-${_rpmrel}.x86_64.rpm"
    
      36source=("https://www.budbrain.de/rpm/x86_64/${_rpm}")
    
      37noextract=("${_rpm}")
    
      38sha256sums=('440a0cee0d32214baa7b6fc63363f496f2df9b2e7916fdb80191682083442dbe')
    
      39
    
      40package() {
    
      41    # Bewusst selbst entpacken statt makepkg machen zu lassen: ob RPMs
    
      42    # automatisch extrahiert werden, hängt an der libarchive-Version.
    
      43    bsdtar -xf "${srcdir}/${_rpm}" -C "${pkgdir}"
    
      44
    
      45    # Die build-id-Verweise unter /usr/lib/.build-id sind ein Fedora-Konstrukt
    
      46    # für dessen debuginfo-Mechanismus. Auf Arch gehören sie nicht ins Paket.
    
      47    rm -rf "${pkgdir}/usr/lib/.build-id"
    
      48
    
      49    # Das RPM legt die Lizenz unter dem RPM-Paketnamen ab, Arch erwartet sie
    
      50    # unter dem Namen DIESES Pakets.
    
      51    if [[ -d "${pkgdir}/usr/share/licenses/jssysinfo" ]]; then
    
      52        mv "${pkgdir}/usr/share/licenses/jssysinfo" \
    
      53           "${pkgdir}/usr/share/licenses/${pkgname}"
    
      54    fi
    
      55}
    
      56

Scan history

Scanned at (UTC)	Severity	Rules
2026-09-17 00:27:14	Medium	2
2026-09-16 00:03:17	Medium	2
2026-09-15 00:25:31	Medium	2
2026-09-14 00:27:57	Medium	2
2026-09-13 00:19:54	Medium	2
2026-09-12 00:25:17	Medium	2
2026-09-11 00:19:22	Medium	2
2026-09-10 00:22:44	Medium	2
2026-09-09 00:04:09	Medium	2
2026-09-08 00:18:08	Medium	2
2026-09-07 00:30:15	Medium	2
2026-09-06 00:17:06	Medium	2
2026-09-05 00:16:27	Medium	2
2026-09-04 00:03:13	Medium	2
2026-09-03 00:15:47	Medium	2
2026-09-02 00:02:31	Medium	2
2026-09-01 00:11:19	Medium	2
2026-08-31 00:19:57	Medium	2
2026-08-30 00:04:14	Medium	2
2026-08-29 00:29:17	Medium	2