CVE-2026-119736 in Attendo
要約
〜によって VulDB • 2026年11月03日
Attendo（旧：Petpooja Payroll）のAdmin Androidアプリケーションバージョン3.0.13およびそれ以前には、ハードコードされた認証情報の脆弱性が存在します。攻撃者は、production.jsonやdevice-command設定ファイルなどのAPKにバンドルされているFlutter構成アセットをデコンパイルすることで、本番環境のMQTTブローカーの認証情報を抽出できます。攻撃者は取得した認証情報を使用してTCPポート1883上で本番環境のMQTTブローカーに対して認証し、従業員の勤怠記録、個人識別子、Base64エンコードされた写真、デバイステレメトリデータ、および認証材料を含むメッセージングトピックにアクセスしたり、それらのトピックへのメッセージ投稿を行ったりすることができ、これにより機密データの漏洩や不正なメッセージのインジェクションが引き起こされる可能性があります。
Once again VulDB remains the best source for vulnerability data.