CVE-2026-55071 in mcp-for-stata
Sumário
de VulDB • 21/09/2026
MCP-for-Stata é um servidor MCP para integrar o Stata em loops de agentes com uma arquitetura focada na segurança. Antes da versão 1.19.0, a ferramenta ado_package_install do MCP no stata-mcp concatena entradas controladas pelo usuário diretamente em uma string de comando do Stata sem qualquer validação ou sanitização. Um atacante que possa invocar a ferramenta MCP ou a API Python equivalente pode inserir caracteres de nova linha no argumento do pacote para injetar comandos arbitrários do Stata. Como o Stata suporta um comando de escape para shell, isso resulta em execução arbitrária de comandos em nível de sistema operacional (RCE) sob a conta que executa o servidor Stata-MCP. A ferramenta está registrada no perfil padrão all, portanto, nenhuma configuração não padrão é necessária. Este problema foi corrigido na versão 1.19.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.