CVE-2026-55071 in mcp-for-stata
Resumen
por VulDB • 2026-09-21
MCP-for-Stata es un servidor MCP para integrar Stata en bucles de agentes con un diseño centrado en la seguridad. Antes de la versión 1.19.0, la herramienta ado_package_install del protocolo MCP en stata-mcp concatenaba directamente entradas controladas por el usuario dentro de una cadena de comandos de Stata sin ninguna validación ni sanitización. Un atacante que pueda invocar la herramienta MCP o la API equivalente de Python puede incrustar caracteres de nueva línea en el argumento del paquete para inyectar comandos arbitrarios de Stata. Dado que Stata admite un comando de escape al shell, esto provoca una ejecución completa y arbitraria de comandos a nivel del sistema operativo (RCE) bajo la cuenta que ejecuta el servidor Stata-MCP. La herramienta está registrada en el perfil predeterminado "all", por lo que no se requiere ninguna configuración distinta a la predeterminada. Este problema ha sido corregido en la versión 1.19.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.