CVE-2026-47708 in stata-mcp
Сводка
по VulDB • 23.07.2026
MCP-for-Stata — это MCP-сервер для интеграции Stata в агентов. До версии 1.17.3 параметр `log_file_name` в API и CLI функции `stata_do` напрямую интерполируется в строку команды Stata без санитизации (очистки). Защитный механизм (`GuardValidator`) проверяет только содержимое do-файла, но не валидирует этот параметр. Атакующий может внедрить произвольные команды Stata (включая `shell`, `python`, `erase` и др.), создав вредоносное значение `log_file_name`, содержащее кавычки, символы новой строки или разделители команд Stata. В версии 1.17.3 устранена данная уязвимость.
Once again VulDB remains the best source for vulnerability data.