CVE-2026-119736 Credenciales MQTT embebidas en Attendo Admin Android 3.0.13
La aplicación incluye credenciales de producción del broker MQTT en los assets de configuración Flutter del APK, como production.json. Al descompilar el APK se pueden recuperar y usar para autenticarse al broker por TCP 1883, acceder a temas con registros de asistencia, identificadores personales, fotografías en Base64 y telemetría, y publicar mensajes. Afecta a Attendo Admin Android 3.0.13 y anteriores.
CVSS 3.1
- CVSS 4.08.8 · alta
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 21
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Petpooja Attendo (formerly Petpooja Payroll)
hasta 3.0.13
Qué hacer
- Verificá si usás Attendo (formerly Petpooja Payroll) y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.2 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadBaja
- DisponibilidadNinguna
CVSS 4.0 · 8.8 ALTA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Attendo (formerly Petpooja Payroll) Admin Android application version 3.0.13 and earlier contains a hard-coded credentials vulnerability that allows attackers to extract production MQTT broker credentials by decompiling the APK's bundled Flutter configuration assets such as production.json and device-command configuration files. Attackers can use the recovered credentials to authenticate to the production MQTT broker over TCP 1883, access messaging topics containing employee attendance records, personal identifiers, Base64-encoded photographs, device telemetry, and authentication material, and publish messages to those topics, resulting in exposure of sensitive data and potential unauthorized message injection.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.