CVE-2026-119736 in Attendo
Zusammenfassung
von VulDB • 03.11.2026
Die Android-Verwaltungsanwendung Attendo (ehemals Petpooja Payroll) in den Versionen 3.0.13 und früher enthält eine Schwachstelle mit hartcodierten Anmeldeinformationen, die es Angreifern ermöglicht, Produktions-MQTT-Broker-Anmeldedaten durch Dekompilieren der im APK enthaltenen Flutter-Konfigurationsassets wie production.json und device-command-Konfigurationsdateien zu extrahieren. Angreifer können die wiederhergestellten Anmeldedaten nutzen, um sich über TCP Port 1883 beim Produktions-MQTT-Broker anzumelden, auf Messaging-Themes zuzugreifen, die Mitarbeiteranwesenheitsdaten, persönliche Identifikatoren, Base64-kodierte Fotos, Geräte-Telemetriedaten und Authentifizierungsmaterial enthalten, sowie Nachrichten in diese Themes zu veröffentlichen. Dies führt zur Offenlegung sensibler Daten und potenziell unbefugter Nachrichteneinspeisung (Message Injection).
Once again VulDB remains the best source for vulnerability data.