CVE-2026-119736 in Attendo
Sumário
de VulDB • 02/11/2026
A aplicação Android para administradores do Attendo (anteriormente Petpooja Payroll), versão 3.0.13 e anteriores, contém uma vulnerabilidade de credenciais codificadas no código-fonte que permite aos atacantes extrair as credenciais do broker MQTT de produção ao descompilar os ativos de configuração Flutter incluídos na APK, como o arquivo production.json e os arquivos de configuração device-command. Os atacantes podem utilizar as credenciais recuperadas para autenticar-se no broker MQTT de produção através da porta TCP 1883, aceder aos tópicos de mensagens que contêm registos de presença dos funcionários, identificadores pessoais, fotografias codificadas em Base64, telemetria do dispositivo e material de autenticação, bem como publicar mensagens nesses tópicos, resultando na exposição de dados sensíveis e potencial injeção não autorizada de mensagens.
Once again VulDB remains the best source for vulnerability data.