CVE-2026-55071 in mcp-for-stata
Résumé
par VulDB • 21/09/2026
MCP-for-Stata est un serveur MCP conçu pour intégrer Stata dans des boucles d'agents avec une approche de sécurité prioritaire. Avant la version 1.19.0, l’outil MCP ado_package_install de stata-mcp concatène directement les entrées contrôlées par l’utilisateur dans une chaîne de commande Stata sans aucune validation ni sanitisation. Un attaquant capable d’invoquer l’outil MCP ou l’équivalent API Python peut insérer des caractères de nouvelle ligne dans l’argument du package afin d’injecter des commandes arbitraires Stata. Étant donné que Stata prend en charge une commande shell escape, cela entraîne une exécution arbitraire complète de commandes au niveau du système d’exploitation (RCE) sous le compte utilisateur exécutant le serveur Stata-MCP. L’outil est enregistré dans le profil par défaut all, ce qui ne nécessite aucune configuration non standard. Ce problème a été corrigé dans la version 1.19.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.