Attendo（旧 Petpooja Payroll）管理者用 Android アプリ 3.0.13 以前 CVE-2026-119736（CVSS v3.1 8.2）: ハードコードされた MQTT 認証情報で勤怠・個人情報が閲覧可能

勤怠管理アプリ Attendo（旧 Petpooja Payroll）の管理者用 Android アプリ 3.0.13 以前に、認証情報のハードコードの脆弱性 CVE-2026-119736 が見つかりました。NVD は 2026-11-02 に登録しました。アプリに同梱された Flutter の設定ファイルから、本番の MQTT ブローカー（TCP 1883）の認証情報を取り出せます。その認証情報でブローカーに接続すると、従業員の勤怠記録、個人を識別する情報、Base64 形式の写真、端末のテレメトリなどが流れるトピックを読めます。同じトピックへメッセージを送ることもできるとされています。NVD の状態は Deferred で、評価は VulnCheck が付与した CVSS v3.1 の 8.2（HIGH）です。

概要

項目	内容
CVE	CVE-2026-119736
製品	Attendo（旧 Petpooja Payroll）管理者用 Android アプリ
対象	3.0.13 以前
問題	ハードコードされた認証情報の使用（CWE-798）。APK 内の production.json や端末コマンド用の設定ファイルに本番ブローカーの認証情報が含まれる
攻撃条件	ネットワーク経由（AV:N）、認証不要（PR:N）、ユーザー操作不要。アプリの APK を入手して解析できれば足りる
結果	勤怠記録・個人識別情報・写真・認証関連情報の閲覧、メッセージの注入の恐れ

• 認証情報はアプリの配布物から取り出せるため、利用者の側でパスワードを変えるだけでは防げません。ブローカー側の認証情報の変更と、アクセス制御の見直しが必要です。
• 流れるデータには従業員の写真や個人識別情報が含まれるとされ、漏えいの影響は事業者の従業員全体に及びます。
• 技術解説の記事が公開されており、NVD の参照にも挙がっています。

CVSS

評価元	種別	版	スコア	ベクター
VulnCheck	主（Primary）	v3.1	8.2（HIGH）	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
VulnCheck	副（Secondary）	v4.0	8.8（HIGH）	AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:N

認証は不要ですが、スコアが 9 未満のため、本サイトでは high としています。

影響範囲

• Attendo 管理者用 Android アプリの 3.0.13 以前を使う事業者と、その従業員が対象です。
• NVD の登録には製品名として「Munshi」が付いていますが、説明文の対象は Attendo の管理者用アプリです。両者の関係は未確認です。
• 認証情報がすでに第三者に取り出されているか、ブローカーへの不正な接続があったかは未確認です。

修正

修正版の有無と版番号は、今回の確認では特定できていません（未確認）。Google Play のアプリ配布ページと、ベンダーの案内を確認してください。

利用者がとれる対策

• アプリを最新版に更新する。ベンダーが認証情報の変更や仕組みの見直しを案内していないかを確認する。
• 事業者は、ブローカーの認証情報の再発行と、トピックごとのアクセス制御の見直しをベンダーに求める。
• 従業員の個人情報の漏えいの可能性を前提に、ベンダーへ事実関係（影響を受けた期間と範囲）の説明を求める。
• 端末や社内のネットワークで、不審な MQTT 接続（TCP 1883）がないかを確認する。

数値と出典（2026-11-03 時点）

項目	内容
NVD の状態	Deferred
CVSS	v3.1 8.2（HIGH）、v4.0 8.8（HIGH）。いずれも VulnCheck
EPSS	未算定（FIRST、2026-11-03 時点）
KEV	掲載なし（CISA のカタログを確認）
出典	NVD、VulnCheck の勧告、FIRST、CISA

未確認の点

• 実際の攻撃での悪用の有無（KEV 掲載なし、EPSS は未算定）。
• 修正版の有無と版番号、認証情報が再発行されたかどうか。
• 流出した可能性のあるデータの範囲と件数。
• NVD の製品名「Munshi」と Attendo の関係。
• 回避策が有効に働くかどうか（上記は一般的な緩和策で、製品側の検証は未確認）。
• NVD による独自の分析（Deferred のため）。