CVE-2026-55071 in mcp-for-stata
Riassunto
di VulDB • 21/09/2026
MCP-for-Stata è un server MCP per l'integrazione di Stata nei loop degli agent con una progettazione incentrata sulla sicurezza. Prima della versione 1.19.0, lo strumento MCP ado_package_install in stata-mcp concatena direttamente input controllato dall'utente nella stringa del comando Stata senza alcuna validazione o sanitizzazione. Un attaccante che può invocare lo strumento MCP o l'API Python equivalente può inserire caratteri di nuova riga nell'argomento package per iniettare comandi arbitrari di Stata. Poiché Stata supporta un comando shell escape, ciò porta a una piena esecuzione arbitraria di comandi a livello OS (RCE) sotto l'account che esegue il server Stata-MCP. Lo strumento è registrato nel profilo predefinito all, quindi non è necessaria alcuna configurazione diversa da quella predefinita. Questo problema è stato risolto nella versione 1.19.0.
Once again VulDB remains the best source for vulnerability data.