p PatchFirst

CVE-2026-47708

CVE-2026-47708 · MCP-for-Stata: Command injection via log_file_name parameter in Stata command wrapper

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

MCP-for-Stata is an MCP server for Stata to integrate Stata into an agent. Prior to version 1.17.3, the `log_file_name` parameter in the `stata_do` API and CLI is directly interpolated into a Stata command string without sanitization. The security guard (`GuardValidator`) only scans the do-file content but does not validate this parameter. An attacker can inject arbitrary Stata commands (including `shell`, `python`, `erase`, etc.) by crafting a malicious `log_file_name` containing quotes, newlines, or Stata command separators. Version 1.17.3 contains a patch for the issue.

CVSS 9.3 · Kritisch · EPSS 0,4% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: python

Betroffene Produkte und Versionen

  • stata-mcp

    Softwareversionen
    • < 1.17.3: Betroffen

    Keine Korrektur veröffentlicht

  • stata-mcp PyPI

    Softwareversionen
    • 0.1.0
    • 1.10.0
    • 1.10.1
    • 1.10.2
    • 1.11.0
    • 1.11.1
    • 1.12.0
    • 1.12.1
    • 1.13.0
    • 1.13.1
    • 1.13.10
    • 1.13.11
    • 1.13.12
    • 1.13.13
    • 1.13.14
    • 1.13.15
    • 1.13.16
    • 1.13.17
    • 1.13.18
    • 1.13.19
    • 1.13.2
    • 1.13.20
    • 1.13.21
    • 1.13.22
    • 1.13.23
    • 1.13.24
    • 1.13.25
    • 1.13.26
    • 1.13.27
    • 1.13.28
    • 1.13.29
    • 1.13.3
    • 1.13.30
    • 1.13.31
    • 1.13.32
    • 1.13.33
    • 1.13.34
    • 1.13.35
    • 1.13.36
    • 1.13.37
    • 1.13.38
    • 1.13.39
    • 1.13.4
    • 1.13.40
    • 1.13.41
    • 1.13.42
    • 1.13.5
    • 1.13.6
    • 1.13.7
    • 1.13.8
    • 1.13.9
    • 1.14.0
    • 1.14.1
    • 1.14.2
    • 1.14.3
    • 1.15.0
    • 1.15.1
    • 1.16.0
    • 1.16.1
    • 1.16.2
    • 1.16.3
    • 1.17.0
    • 1.17.1
    • 1.17.2
    • 1.3.10
    • 1.3.2
    • 1.3.3
    • 1.3.4
    • 1.3.5
    • 1.3.6
    • 1.3.7
    • 1.3.8
    • 1.4.0
    • 1.4.1
    • 1.5.1
    • 1.5.2
    • 1.5.3
    • 1.6.0
    • 1.6.1
    • 1.6.2
    • 1.6.3
    • 1.7.0
    • 1.7.1
    • 1.7.2
    • 1.7.3
    • 1.7.4
    • 1.8.0
    • 1.8.1
    • 1.8.2
    • 1.9.0
    • 1.9.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.17.3

    Auf 1.17.3 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →