CVE-2026-119736
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les applications Android Admin d'Attendo (anciennement Petpooja Payroll) version 3.0.13 et antérieures sont concernées. L'application est utilisée pour la gestion de la paie et de l'assiduité des employés. La faille existe car les identifiants de production du courtier MQTT sont codés en dur dans les fichiers de configuration Flutter de l'APK, tels que production.json.
Un attaquant peut décompiler l'application pour voler ces identifiants et se connecter au courtier de production via le réseau. Cela lui permet de lire des données sensibles sur les employés, notamment des identifiants personnels et des photographies, ou d'injecter des messages non autorisés dans le système. L'attaque est facile à exécuter car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être effectuée à distance.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Attendo (formerly Petpooja Payroll) Admin Android application version 3.0.13 and earlier contains a hard-coded credentials vulnerability that allows attackers to extract production MQTT broker credentials by decompiling the APK's bundled Flutter configuration assets such as production.json and device-command configuration files. Attackers can use the recovered credentials to authenticate to the production MQTT broker over TCP 1883, access messaging topics containing employee attendance records, personal identifiers, Base64-encoded photographs, device telemetry, and authentication material, and publish messages to those topics, resulting in exposure of sensitive data and potential unauthorized message injection.