Claude Code 2.1.268、MCPとpluginの確認時に認証情報が出る問題を修正
MCPの詳細表示やログインエラー、pluginやmarketplaceのエラーで、環境変数から解決した認証情報やGit URLのトークン・パスワードが表示される問題が修正されました。接続や設定を調べるときに、認証情報そのものが出力へ混ざる経路が減ります。
AT A GLANCE
まず知りたいこと
MAIN CHANGE
一番大きい変化
MCPやpluginの接続・設定を調べる場面で、認証情報そのものが詳細表示やエラーへ出る経路が修正されました。
KEY POINTS
このリリースの注目点
MCPの詳細表示で認証情報を隠す
MCP設定の`${VAR}`から解決された認証情報が、`/mcp`や`/plugin`のサーバー詳細（server details）、`claude mcp list` / `get`、MCPのログインエラーに表示される問題が修正されました。
pluginのGit URLに含む認証情報も隠す
pluginやmarketplaceのエラーで、Gitの取得元URL（source URL）に含まれるトークンやパスワードが表示される問題も修正されました。
BENEFIT
ここがいい
MCP接続や認証付きGit URLから取得するpluginの設定を調べるとき、エラーや詳細表示に認証情報がそのまま出る経路が減り、画面やコマンド出力で認証情報を露出するリスクを下げられます。
RELEVANT TO
こんな人に関係する
- 環境変数でMCPの認証情報を渡している人
- 認証付きGit URLからpluginやmarketplaceを利用しているチーム
- Claude Codeの認証情報の扱いを監査する担当者
MCP serverへ接続するとき、認証情報を設定ファイルへ直接書かず、${VAR}のような環境変数の参照で渡す構成があります。v2.1.268では、その参照から解決された実際の値が、設定を確認する画面やコマンド出力へ出る問題が修正されました。
対象になるのは主に次の構成です。
- MCP設定で
${VAR}から認証情報を解決している - 認証情報を含むGit URLからpluginやmarketplaceを取得している
たとえばMCPのログインが失敗し、claude mcp getや/mcpで接続設定を調べる場面です。修正前は、MCP設定で環境変数から読み出した認証情報が詳細表示やエラーに含まれる場合がありました。v2.1.268では、公式releaseが挙げるこれらの表示経路で認証情報を隠すようになっています。
pluginの接続エラーでも認証情報を表示しない
同じreleaseでは、pluginとmarketplaceのエラー表示も修正されました。Gitの取得元URL（source URL）にトークンやパスワードを含めている場合、その値がエラーへ出る問題がありました。
認証付きGit URLからpluginを取得していて接続エラーを調べるときでも、認証情報そのものをエラーへ出さないようになりました。MCPの修正と合わせて、設定確認や失敗時の切り分けで認証情報が見える経路を狭める更新です。
修正対象は公式releaseが挙げた表示経路
公式releaseが明記しているのは、MCPのサーバー詳細（server details）、claude mcp list / get、MCPのログインエラー、pluginとmarketplaceのエラーです。Claude Code内のあらゆるログや出力を一律に秘匿する変更とは説明されていません。
CVE、既知の悪用、影響を受ける開始version、対応期限は案内されていません。ただし、対象構成を使っている場合は、次に設定や接続エラーを調査する前にv2.1.268以降へ更新してください。旧版を使い続けると、公式releaseが挙げる表示経路で認証情報が露出する可能性が残ります。
公式情報
制作: AI-assisted