- Son 7 gün
- CWE-798
CVE-2026-119736
Attendo Admin Android uygulamasında gömülü MQTT broker kimlik bilgileri
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Uygulamanın içine gömülü erişim bilgileri, çalışanlara ait devam ve kimlik verilerinin yetkisiz kişilerce okunmasına ve değiştirilmesine yol açabilir. Bu durum hem veri gizliliği yükümlülükleri hem de itibar açısından ciddi bir iş riskidir. Kullanılan sürümlerin hızla kontrol edilip güncellenmesi önerilir.
ÖzetTürkçe
Attendo (eski adıyla Petpooja Payroll) Admin Android uygulamasının 3.0.13 ve daha eski sürümleri, üretim MQTT broker kimlik bilgilerini uygulama paketinin içindeki Flutter yapılandırma dosyalarında sabit kodlanmış olarak barındırmaktadır. Uygulamanın APK paketi çözümlenerek (decompile) bu bilgilere erişilebilir. Etkilenen kullanıcılar, bu sürümleri kullanan ve üretim broker'ına bağlı işletmelerdir.
Saldırgan ne yapabilir?
Saldırgan, ele geçirdiği kimlik bilgileriyle TCP 1883 üzerinden üretim MQTT broker'ına bağlanabilir; çalışan devam kayıtları, kişisel tanımlayıcılar, Base64 kodlu fotoğraflar, cihaz telemetrisi ve kimlik doğrulama verilerini okuyabilir ve bu konulara yetkisiz mesaj yayınlayabilir.
Kaynaktaki açıklama (İngilizce)
Attendo (formerly Petpooja Payroll) Admin Android application version 3.0.13 and earlier contains a hard-coded credentials vulnerability that allows attackers to extract production MQTT broker credentials by decompiling the APK's bundled Flutter configuration assets such as production.json and device-command configuration files. Attackers can use the recovered credentials to authenticate to the production MQTT broker over TCP 1883, access messaging topics containing employee attendance records, personal identifiers, Base64-encoded photographs, device telemetry, and authentication material, and publish messages to those topics, resulting in exposure of sensitive data and potential unauthorized message injection.
Ne yapmalı?
- Uygulamanın 3.0.13 sürümünden daha yeni, düzeltilmiş bir sürüme güncelleyin. Tedarikçi düzeltilmiş sürüm bilgisi sağlamamaktadır; bu nedenle güncel sürüm için tedarikçinin resmi kanallarını kontrol edin. Genel öneri
- Güvenlik ekibi olarak, sızdırılmış olabilecek üretim MQTT kimlik bilgilerini derhal iptal edin veya değiştirin ve broker erişim kurallarını yeniden gözden geçirin. Genel öneri
- MQTT broker'ına erişimi yalnızca gerekli istemcilerle ve ağ aralıklarıyla sınırlandırın; TCP 1883 portunun gereksiz yere internete açık olup olmadığını kontrol edin. Genel öneri
- Broker'daki konu (topic) erişim izinlerini en az yetki ilkesine göre daraltın ve beklenmeyen yayın ya da bağlantı kayıtlarını izleyin. Genel öneri
Ek önlemler
- Mobil uygulamalara istemci tarafında gizli bilgi gömmekten kaçının; kimlik bilgilerini sunucu tarafında yönetin ve kısa ömürlü belirteçler kullanın. Genel öneri
- Üretim ortamı kimlik bilgilerini düzenli olarak döndürün ve kullanılmayan veya eski hesapları devre dışı bırakın. Genel öneri
- Broker kayıtlarını izleyerek olağandışı bağlantı, yetkisiz yayın ve yeni istemci kimliklerini tespit edecek uyarılar oluşturun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Petpooja Munshi | ≤ 3.0.13 | – |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…min-android-hard-coded-mqtt-broker-credentials Üçüncü taraf
- medium.com/…attendo-formerly-petpooja-payroll-eb701d23233e İstismar kodu ya da analiz
- play.google.com/store/apps/details Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.