CVE-2026-55071 in mcp-for-stata
요약
\~에 의해 VulDB • 2026. 09. 21.
MCP-for-Stata는 안전성 우선 설계로 에이전트 루프에 Stata를 통합하기 위한 MCP 서버입니다. 버전 1.19.0 이전의 stata-mcp에서 ado_package_install MCP 도구는 사용자 제어 입력을 검증 또는 sanitization 없이 직접 Stata 명령어 문자열에 연결합니다. MCP 도구나 동일한 Python API를 호출할 수 있는 공격자는 패키지 인수에 개행 문자를 삽입하여 임의의 Stata 명령어를 주입할 수 있습니다. Stata가 shell escape 명령을 지원하므로, 이는 Stata-MCP 서버를 실행하는 계정에서 전체 OS 수준의 임의 명령어 실행(RCE)으로 이어집니다. 이 도구는 기본 all 프로필에 등록되어 있으므로 비기본 구성이 필요하지 않습니다. 이 문제는 버전 1.19.0에서 패치되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.