Kui ründaja laeb pahatahtliku paketi avalikku hoidlasse sama nimega, mis on kasutusel privaatses hoidlas, võib arendussüsteem ekslikult kasutada pahatahtlikku paketti (repo confusion).

Privaatsetes hoidlates olevad paketid on sageli vananenud versioonidega.

Avalikes hoidlates olevatel pakettidel puuduvad tavaliselt digitaalallkirjad.

Avalikud hoidlad nõuavad alati tasulist ligipääsu.