kintoneのnpmパッケージが依存するaxiosの侵害に伴う注意喚起とパッチ公開

kintoneセキュリティ

kintoneのnpmパッケージが依存するaxiosに問題が見つかり、影響条件の案内と依存先を固定したパッチが公開されました。

必要な対応

対象期間に該当パッケージのインストールやコマンド実行に心当たりがある利用者は、公式情報を参照して認証情報をローテーションするなどの対応をとる必要があります。

変更点

  • 2026年3月31日9時21分から12時15分ごろにkintoneの7種のnpmパッケージを依存解決した環境では問題のあるaxios@1.14.1またはaxios@0.30.4が入った可能性がある
  • @kintone/cliのplugin init --template typescriptや@kintone/create-pluginの--template modernの実行時も内部で@kintone/rest-api-clientを取得するため対象となる
  • MCPクライアントの設定でnpx @kintone/mcp-serverを指定して起動した場合もパッケージがダウンロードされるため影響を受ける可能性がある
  • 予防措置としてaxiosの依存バージョンを固定した@kintone/rest-api-client 6.1.4や@kintone/cli v1.19.2などのパッチが公開された

影響範囲

@kintone/rest-api-client@kintone/create-plugin@kintone/customize-uploader@kintone/dts-gen@kintone/webpack-plugin-kintone-plugin@kintone/cli@kintone/mcp-server

公式ページを開く

この記事は Release Radar が独自に要約したもので、各社の公式発表ではありません。正確な内容は公式ページをお読みください。

その他の更新