¿Qué es CVE-2026-119736?
CVE-2026-119736 es una vulnerabilidad crítica de ciberseguridad con una puntuación CVSS de 8.2 descubierta en la aplicación Attendo Admin para Android seguridad en android. El fallo está clasificado bajo el identificador CWE-798 por el uso de credenciales embebidas directamente en el código.
Como se detalla en los avisos de seguridad y referencias técnicas como vulnerabilidad crítica en software, este problema compromete la confidencialidad de los sistemas de mensajería conectados a la infraestructura.
¿A quién afecta esta vulnerabilidad de credenciales MQTT?
La vulnerabilidad afecta directamente a la aplicación Attendo (anteriormente Petpooja Payroll) Admin para Android en su versión 3.0.13 y anteriores disponibles en. Cualquier organización o usuario que mantenga estas versiones heredadas corre riesgo de exposición.
Este tipo de fallos de diseño recuerdan a incidentes de escalada de privilegios donde componentes internos mal protegidos facilitan el acceso no autorizado a los sistemas.
¿Cómo se produce la brecha de seguridad?
El problema surge porque los atacantes pueden extraer las credenciales del broker MQTT de producción decompilando los recursos de configuración de Flutter empaquetados en el APK, tales como production.json y archivos de configuración device-command.
Con las credenciales recuperadas, es posible autenticarse en el broker MQTT a través del puerto TCP 1883, acceder a tópicos de mensajería que contienen registros de asistencia de empleados, identificadores personales, fotografías codificadas en Base64, telemetría de dispositivos y material de autenticación.
¿Cómo me protejo?
La mitigación de este tipo de vulnerabilidades requiere una revisión exhaustiva del almacenamiento de secretos en aplicaciones móviles y la eliminación de tokens en texto plano dentro de los paquetes de instalación.
Sigue estos pasos recomendados para proteger tu entorno y mitigar posibles exposiciones:
- Audita todas las aplicaciones móviles desplegadas para verificar la ausencia de ficheros de configuración con credenciales en texto plano.
- Actualiza o desinstala de inmediato las versiones vulnerables de la aplicación Attendo Admin en tus dispositivos.
- Revoca y rota de forma inmediata las credenciales del broker MQTT expuestas y endurece las reglas de control de acceso en el puerto TCP 1883.
- Implementa gestores de secretos seguros en lugar de empaquetar claves de producción dentro de los assets de Flutter.