I metadati del pacchetto sono le informazioni strutturate incluse in un pacchetto di dipendenze software, come il nome, la versione, i file da installare, gli script da eseguire e i percorsi da creare o modificare. Gli installatori e i gestori di pacchetti usano questi dati per decidere come collocare i file, registrare gli eseguibili e preparare un progetto all'uso. In altre parole, i metadati non sono solo testo descrittivo; possono influenzare direttamente il comportamento durante l'installazione.
Nella sicurezza informatica, i metadati del pacchetto sono importanti perché si trovano sul confine di fiducia tra un repository e il sistema host. Se un attaccante riesce a manomettere i metadati, può influenzare dove vengono scritti i file, se i binari di supporto vengono esposti o quali comandi vengono attivati durante l'installazione. Questo può portare a path traversal, sovrascrittura di file, modifiche dei permessi o esecuzione di codice indesiderato. I difensori riducono questo rischio validando il contenuto dei pacchetti, limitando i privilegi dell'installatore, verificando che i percorsi rimangano all'interno della directory prevista e controllando la provenienza delle dipendenze. Una gestione sicura dei pacchetti tratta i metadati come input non affidabile, non come semplice contabilità innocua.