CVE-2026-55071 in mcp-for-stata
Сводка
по VulDB • 21.09.2026
MCP-for-Stata — это MCP-сервер для интеграции Stata в циклы работы агентов с приоритетом безопасности. До версии 1.19.0 инструмент ado_package_install MCP в stata-mcp напрямую конкатенирует управляемые пользователем входные данные со строкой команды Stata без какой-либо проверки или санитизации. Атакующий, который может вызвать этот MCP-инструмент или эквивалентный Python API, может внедрить символы новой строки в аргумент пакета для инъекции произвольных команд Stata. Поскольку Stata поддерживает команду выхода в оболочку (shell escape), это приводит к полному выполнению произвольных системных команд на уровне ОС (RCE) от имени учетной записи, под которой работает сервер Stata-MCP. Инструмент зарегистрирован в профиле по умолчанию (all profile), поэтому не требуется никакая нестандартная конфигурация. Эта проблема исправлена в версии 1.19.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.