Un manifest dell'estensione è il file di configurazione che indica a Visual Studio Code che cos'è un'estensione, cosa contribuisce e quando deve essere eseguita. In genere dichiara elementi come il nome dell'estensione, le funzionalità che aggiunge e gli eventi di attivazione che ne avviano il codice. In VS Code, questo significa che un pacchetto che sembra un tema o un semplice componente aggiuntivo può comunque includere comportamento eseguibile se il manifest punta a uno script principale.
Questo è importante nella sicurezza informatica perché gli aggressori possono nascondere funzionalità dannose all'interno di confezionamenti software affidabili. Un revisore può vedere un'etichetta di categoria innocua, ma il manifest può rivelare una logica di attivazione inattesa, JavaScript incluso nel pacchetto o dipendenze che trasformano un'estensione in un meccanismo di distribuzione. I difensori esaminano il manifest per verificare che un tema contribuisca solo allo stile, controllano eventuali voci main o eventi di attivazione sospetti e confrontano il manifest con i file impacchettati prima dell'installazione. In pratica, il manifest è uno dei modi più rapidi per distinguere un componente aggiuntivo puramente estetico da codice che può essere eseguito.