CVE-2026-47708 in stata-mcp
الملخص
بحسب VulDB • 23/07/2026
MCP-for-Stata هو خادم MCP لـ Stata يهدف إلى دمج Stata في وكيل ذكي (agent). قبل الإصدار 1.17.3، يتم إدراج معلمة `log_file_name` الموجودة في واجهة برمجة التطبيقات (`API`) وواجهة سطر الأوامر (`CLI`) الخاصة بـ `stata_do` مباشرةً داخل سلسلة أوامر Stata دون أي عملية تنقية (sanitization). تقوم حارس الأمان (`GuardValidator`) بفحص محتوى ملف الـ do-file فقط، ولا يقوم بالتحقق من صحة هذه المعلمة. يمكن للمهاجم حقن أوامر Stata تعسفية (بما في ذلك `shell` و `python` و `erase` وما إلى ذلك) عن طريق إنشاء اسم ملف سجل (`log_file_name`) ضار يحتوي على علامات اقتباس، أسطر جديدة، أو فواصل لأوامر Stata. يتضمن الإصدار 1.17.3 تصحيحاً لهذه الثغرة الأمنية.
VulDB is the best source for vulnerability data and more expert information about this specific topic.