wheredidmystoragego-bin

maintainer budbrain · 0 votes · scanned 2026-08-03 00:08:14.047287

MEDIUM

Why flagged A prebuilt proprietary binary is downloaded from the maintainer's own personal/project domain (budbrain.de) and installed directly; while the checksum is present and the host appears to be the project's own site, it is an unverifiable third-party binary from a non-established vendor with few votes, making it a moderate supply-chain risk if the host were compromised or swapped.

Triggered rules

MEDIUM source=() URL on a non-standard host source_untrusted_domain

One or more source=() URLs point to a host outside the trusted allowlist (github.com, gitlab.com, codeberg.org, pypi.org, …).

PKGBUILD:37 source=("https://www.budbrain.de/rpm/x86_64/${_rpm}")

LOW Few votes, recently uploaded zero_votes_recent

Uploaded within the last 14 days with 2 or fewer community votes — little peer review so far.

MEDIUM AI review llm_review

An AI model (anthropic/claude-sonnet-4.6) reviewed this and agrees it is MEDIUM (confidence 70%): A prebuilt proprietary binary is downloaded from the maintainer's own personal/project domain (budbrain.de) and installed directly; while the checksum is present and the host appears to be the project's own site, it is an unverifiable third-party binary from a non-established vendor with few votes, making it a moderate supply-chain risk if the host were compromised or swapped.

PKGBUILD

1 offending line(s) highlighted

      1# Maintainer: Josef Sejrek <packages@budbrain.de>
    
      2
    
      3# Warum ein -bin-Paket aus einem RPM:
    
      4#
    
      5# Die App ist proprietär, es gibt also keinen Quelltext zum Bauen. Das AUR ist
    
      6# trotzdem der richtige Ort dafür — es verteilt selbst keine Binärdateien,
    
      7# sondern nur diese Bauanleitung; heruntergeladen wird beim Nutzer, direkt von
    
      8# budbrain.de. Genau deshalb liegen dort auch Spotify und Discord.
    
      9#
    
      10# Als Quelle dient das RPM aus dem eigenen Paket-Repo, nicht ein zusätzliches
    
      11# Archiv: eine Artefaktquelle weniger, die aus dem Tritt geraten kann. Das
    
      12# Binary darin ist gegen glibc 2.34 gelinkt und läuft damit auf Arch (rolling)
    
      13# ohne Weiteres.
    
      14
    
      15pkgname=wheredidmystoragego-bin
    
      16pkgver=1.0.7
    
      17pkgrel=1
    
      18pkgdesc="See where your disk space went — as a colourful treemap"
    
      19arch=('x86_64')
    
      20url="https://www.budbrain.de"
    
      21license=('LicenseRef-proprietary')
    
      22depends=('gtk3' 'hicolor-icon-theme')
    
      23optdepends=('zenity: Rückfalldialoge, wenn der Desktop keine eigenen anbietet')
    
      24provides=('wheredidmystoragego')
    
      25conflicts=('wheredidmystoragego')
    
      26
    
      27# !strip ist Pflicht, nicht Geschmackssache: makepkg strippt sonst jedes
    
      28# Binary im Paket. Diese App löst ihre Symbole im Absturzfall zur Laufzeit im
    
      29# eigenen Prozess auf — ohne Debug-Info nennt der Bericht nur noch Offsets.
    
      30options=('!strip' '!debug' '!emptydirs')
    
      31
    
      32# Release-Nummer des RPM, aus dem dieses Paket entsteht — sie steigt,
    
      33# wenn sich der Paketinhalt bei gleicher Programmversion ändert.
    
      34# update-aur.sh setzt sie aus der .spec; hier nichts von Hand ändern.
    
      35_rpmrel=1
    
      36_rpm="wheredidmystoragego-${pkgver}-${_rpmrel}.x86_64.rpm"
    
      37source=("https://www.budbrain.de/rpm/x86_64/${_rpm}")
    
      38noextract=("${_rpm}")
    
      39sha256sums=('8d947a4e69ef249eee3e022286f24947c792b3c8799b8a479fbb75d43bf418f7')
    
      40
    
      41package() {
    
      42    # Bewusst selbst entpacken statt makepkg machen zu lassen: ob RPMs
    
      43    # automatisch extrahiert werden, hängt an der libarchive-Version.
    
      44    bsdtar -xf "${srcdir}/${_rpm}" -C "${pkgdir}"
    
      45
    
      46    # Die build-id-Verweise unter /usr/lib/.build-id sind ein Fedora-Konstrukt
    
      47    # für dessen debuginfo-Mechanismus. Auf Arch gehören sie nicht ins Paket.
    
      48    rm -rf "${pkgdir}/usr/lib/.build-id"
    
      49
    
      50    # Das RPM legt die Lizenz unter dem RPM-Paketnamen ab, Arch erwartet sie
    
      51    # unter dem Namen DIESES Pakets.
    
      52    if [[ -d "${pkgdir}/usr/share/licenses/wheredidmystoragego" ]]; then
    
      53        mv "${pkgdir}/usr/share/licenses/wheredidmystoragego" \
    
      54           "${pkgdir}/usr/share/licenses/${pkgname}"
    
      55    fi
    
      56}
    
      57

Scan history

Scanned at (UTC)	Severity	Rules
2026-08-03 00:08:14	MEDIUM	3
2026-08-02 00:16:08	MEDIUM	3
2026-08-01 00:11:18	MEDIUM	3
2026-07-31 00:14:10	MEDIUM	3
2026-07-30 00:17:23	MEDIUM	3
2026-07-29 00:25:53	MEDIUM	3
2026-07-28 00:07:28	MEDIUM	3
2026-07-27 00:24:32	MEDIUM	3
2026-07-26 15:35:22	MEDIUM	3
2026-07-26 15:32:35	MEDIUM	2