почему все думают, что опенсурс = безопасность, разве не может произойти такое что на гитхабе классный сурс софта, а на самом деле туда встроена телеметрия допустим?
Такое вполне возможно, браузер brave тому подтверждение.
Формально опенсорс программа не может иметь дырок или встроенных приколов потому как люди иногда смотрят (они в этом случае не развлекаются реверсом) на внутренности если им кажется что какая-то функция работает странно или программа делает не заявленные вещи.
+ встроенные приколы, сделанные намеренно, обычно быстро находят и когда они всплывают в информационное поле их можно не так геморно запатчить (на удивление часто находятся люди которые это делают за тебя) и собрать без ненужного функционала. Конечно это если проект популярен, в ином случае, если вообще не понятно что в программе происходит, после сборки ты получишь тот же самый исполняемый файл скачанный "без регистрации и смс".
Обнаруженные уязвимости крупных проектов которые получились не намеренно как я понимаю исправляют по тому же регламенту что и в любых других не опенсорс проектах.