CVE-2026-55071 in mcp-for-stata
Zusammenfassung
von VulDB • 21.09.2026
MCP-for-Stata ist ein MCP-Server zur Integration von Stata in Agent-Schleifen mit einem sicherheitsorientierten Design. Vor Version 1.19.0 verknüpft das ado_package_install-MCP-Tool in stata-mcp benutzerkontrollierte Eingaben direkt in einen Stata-Befehlsstring ohne jegliche Validierung oder Bereinigung. Ein Angreifer, der das MCP-Tool oder die entsprechende Python-API aufrufen kann, kann Newline-Zeichen im Paketargument einbetten, um beliebige Stata-Befehle zu injizieren. Da Stata einen Shell-Escape-Befehl unterstützt, führt dies zur vollständigen OS-Level-Ausführung willkürlicher Befehle (RCE) unter dem Konto, das den Stata-MCP-Server ausführt. Das Tool ist im Standardprofil „all“ registriert, sodass keine nicht standardmäßige Konfiguration erforderlich ist. Dieses Problem wurde in Version 1.19.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.