Un documentation worker è un servizio automatizzato in un registro di pacchetti o in una pipeline di build che genera, formatta, indicizza o pubblica la documentazione dei pacchetti. Può leggere file forniti dall'autore del pacchetto, come contenuti README, metadati, modelli o esempi, e trasformarli in pagine web o in output ricercabile.
In termini di sicurezza, questo è rilevante perché il worker può elaborare contenuti controllati dal pacchetto su larga scala e con fiducia elevata. Se la validazione dell'input è debole, gli attaccanti possono usarlo per la raccolta di dati, attivare comportamenti di richieste lato server, iniettare markup malformato o testare come il registro gestisce campi non affidabili. Nell'abuso della supply chain, i documentation worker sono interessanti perché si trovano accanto ai flussi di pubblicazione e possono essere raggiunti senza compromettere la macchina di uno sviluppatore. Le difese includono una sanitizzazione rigorosa, il sandboxing, l'esecuzione con privilegi minimi, la codifica dell'output e il trattamento del contenuto dei pacchetti appena pubblicato come non affidabile finché non è stato verificato.