CVE-2026-47708

MCP-for-Stata, Stata'yı bir ajana entegre etmek için kullanılan bir MCP sunucusudur. Versiyon 1.17.3 öncesinde, `stata_do` API ve CLI içerisindeki `log_file_name` parametresi, herhangi bir temizleme işlemi yapılmadan doğrudan bir Stata komut dizisine eklenmektedir. Güvenlik koruması (`GuardValidator`) yalnızca do-file içeriğini taramakta ancak bu parametreyi doğrulamamaktadır. Bir saldırgan; tırnak işaretleri, yeni satırlar veya Stata komut ayırıcıları içeren kötü niyetli bir `log_file_name` oluşturarak keyfi Stata komutları (`shell`, `python`, `erase` vb. dahil) enjekte edebilir. Versiyon 1.17.3, bu sorun için bir yama içermektedir.