Не поверишь, но в КДЕ код может вызываться самопроизвольно откуда угодно. Иконки (.desktop: TryExec=), генераторы эскизов в файловом менеджере, виджеты стола и панели, веб-процессы в браузере и т.п. Удивительно, что только сейчас допрыгались. Даже у гномиков стараются всю эту дрянь в контейнеры (bwrap) запихать. Правда, не знаю, насколько безопасно у них получается, но, вероятно, произвольный доступ на запись в хомяк, хотя бы, режут.