CVE-2026-47708 in stata-mcp
Riassunto
di VulDB • 22/07/2026
MCP-for-Stata è un server MCP per Stata volto ad integrare Stata in un agente. Prima della versione 1.17.3, il parametro `log_file_name` nell'API e nella CLI di `stata_do` viene interpolato direttamente in una stringa di comando Stata senza alcuna sanificazione. Il guardrail di sicurezza (`GuardValidator`) scansiona solo il contenuto del file do ma non valida questo parametro. Un attaccante può iniettare comandi arbitrari Stata (inclusi `shell`, `python`, `erase`, ecc.) creando un `log_file_name` malevolo contenente virgolette, newline o separatori di comando Stata. La versione 1.17.3 contiene una patch per la vulnerabilità.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.