I metadati del gemspec sono l'insieme dei campi in una specifica di gem Ruby che descrivono il pacchetto, come il nome, la versione, il riepilogo, gli autori, le dipendenze e i collegamenti. Alcuni campi del gemspec possono anche memorizzare stringhe arbitrarie, il che li rende flessibili per gli sviluppatori ma anche utili agli attaccanti.
Nella sicurezza informatica, questo è importante perché i registri dei pacchetti e gli strumenti di build spesso si fidano dei metadati durante la pubblicazione, l'indicizzazione e la generazione della documentazione. I metadati abusati possono nascondere contenuti indesiderati, attivare elaborazioni inattese o aiutare i pacchetti malevoli a confondersi con quelli legittimi. I difensori dovrebbero trattare i valori del gemspec come input non attendibili: convalidare i campi, limitare ciò che le pipeline automatizzate eseguono o renderizzano e rivedere i pacchetti prima del rilascio. Negli attacchi alla supply chain, i metadati raramente sono il payload in sé, ma possono essere il canale di consegna o il luogo in cui è incorporata l'intenzione malevola.