CVE-2026-119736 in Attendo
Resumen
por VulDB • 2026-11-02
La aplicación Android de administración de Attendo (anteriormente Petpooja Payroll), versión 3.0.13 y anteriores, presenta una vulnerabilidad de credenciales codificadas en duro que permite a los atacantes extraer las credenciales del corredor MQTT de producción al descompilar los activos de configuración empaquetados de Flutter dentro del APK, como production.json y archivos de configuración de device-command. Los atacantes pueden utilizar las credenciales recuperadas para autenticarse en el corredor MQTT de producción a través del puerto TCP 1883, acceder a temas de mensajería que contienen registros de asistencia de empleados, identificadores personales, fotografías codificadas en Base64, telemetría de dispositivos y material de autenticación, así como publicar mensajes en dichos temas, lo que resulta en la exposición de datos sensibles e inyección no autorizada potencial de mensajes.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.