2026年4月1日依存パッケージ（axios）に関するセキュリティ上の注意喚起

SDK

公開日: 2026年04月01日

kintone提供のnpmパッケージが依存するaxiosにセキュリティ上の問題が確認されました。

影響を受ける条件

2026年3月31日9:21〜12:15ごろ（JST）の間に、次のいずれかを実行した環境では、問題のあるバージョンのaxiosをインストールした可能性があります。

以下のnpmパッケージをnpm installやnpx等で依存解決した際に、問題のあるバージョンのaxiosをインストールした可能性があります。

次のコマンドはパッケージのインストールを行っていなくても、実行時に内部で依存パッケージ (rest-api-client) をダウンロードするため影響を受ける可能性があります。

plugin init --template typescriptコマンドの実行が対象です。
npx、グローバルインストール、バイナリのいずれの実行方法も含みます。

1
2
3
4
5


# npxでの実行
npx @kintone/cli plugin init --template typescript

# グローバルインストールからの実行
cli-kintone plugin init --template typescript

--template modernオプションでの実行が対象です。

1
2
3
4
5


# npxでの実行
npx @kintone/create-plugin my-plugin --template modern

# グローバルインストールからの実行
create-kintone-plugin my-plugin --template modern

MCPクライアント（Claude Desktop等）の設定でnpx @kintone/mcp-serverを指定している場合、サーバー起動時にパッケージがダウンロードされるため、影響を受ける可能性があります。

1
2
3
4
5
6
7
8
9


// mcp.json
{
  "mcpServers": {
    "kintone": {
      "command": "npx",
      "args": ["-y", "@kintone/mcp-server"]
    }
  }
}

心当たりのある場合は、公式情報を参照のうえ、認証情報のローテーションなど適切な対応をお願いします。

今後の予防措置として、axiosの依存バージョンを固定化するパッチリリースを実施しました。

パッケージ	リリースバージョン
`@kintone/cli`	v1.19.2
`@kintone/mcp-server`	1.3.10
`@kintone/create-plugin`	9.0.3
`@kintone/customize-uploader`	9.0.3
`@kintone/dts-gen`	9.0.3
`@kintone/rest-api-client`	6.1.4
`@kintone/webpack-plugin-kintone-plugin`	9.0.2