---
title: "Attendo（旧 Petpooja Payroll）管理者用 Android アプリ 3.0.13 以前 CVE-2026-119736（CVSS v3.1 8.2）: ハードコードされた MQTT 認証情報で勤怠・個人情報が閲覧可能"
url: https://n-t-p.io/worldsecurity/articles/attendo-petpooja-payroll-admin-android-3-0-13-hard-coded-mqtt-credentials-cve-2026-119736
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月3日
updated: 2026年11月3日
severity: 高
cve: CVE-2026-119736
---

# Attendo（旧 Petpooja Payroll）管理者用 Android アプリ 3.0.13 以前 CVE-2026-119736（CVSS v3.1 8.2）: ハードコードされた MQTT 認証情報で勤怠・個人情報が閲覧可能

> **TL;DR:** Attendo（旧 Petpooja Payroll）管理者用 Android アプリ 3.0.13 以前の認証情報ハードコード（CVE-2026-119736）。APK の設定ファイルから本番 MQTT ブローカーの認証情報を取り出せ、勤怠記録・個人識別情報・写真を読める。VulnCheck の CVSS v3.1 は 8.2（PR:N）。KEV なし、EPSS は未算定。

**要点**
- Attendo（旧 Petpooja Payroll）管理者用 Android アプリ 3.0.13 以前が対象。APK 内の設定ファイルに本番 MQTT ブローカーの認証情報が含まれる（CWE-798）
- 取り出した認証情報で TCP 1883 のブローカーに接続し、勤怠記録・個人識別情報・Base64 写真などを読み、メッセージを注入できる恐れ
- CVSS v3.1 は 8.2（AV:N/PR:N、機密性 High）で high。NVD は Deferred
- 修正版の有無、悪用の実態、流出の範囲は未確認。KEV なし、EPSS は未算定

勤怠管理アプリ Attendo（旧 Petpooja Payroll）の管理者用 Android アプリ 3.0.13 以前に、認証情報のハードコードの脆弱性 CVE-2026-119736 が見つかりました。NVD は 2026-11-02 に登録しました。アプリに同梱された Flutter の設定ファイルから、本番の MQTT ブローカー（TCP 1883）の認証情報を取り出せます。その認証情報でブローカーに接続すると、従業員の勤怠記録、個人を識別する情報、Base64 形式の写真、端末のテレメトリなどが流れるトピックを読めます。同じトピックへメッセージを送ることもできるとされています。NVD の状態は Deferred で、評価は VulnCheck が付与した CVSS v3.1 の 8.2（HIGH）です。

## 概要

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-119736 |
| 製品 | Attendo（旧 Petpooja Payroll）管理者用 Android アプリ |
| 対象 | 3.0.13 以前 |
| 問題 | ハードコードされた認証情報の使用（CWE-798）。APK 内の production.json や端末コマンド用の設定ファイルに本番ブローカーの認証情報が含まれる |
| 攻撃条件 | ネットワーク経由（AV:N）、認証不要（PR:N）、ユーザー操作不要。アプリの APK を入手して解析できれば足りる |
| 結果 | 勤怠記録・個人識別情報・写真・認証関連情報の閲覧、メッセージの注入の恐れ |

- 認証情報はアプリの配布物から取り出せるため、利用者の側でパスワードを変えるだけでは防げません。ブローカー側の認証情報の変更と、アクセス制御の見直しが必要です。
- 流れるデータには従業員の写真や個人識別情報が含まれるとされ、漏えいの影響は事業者の従業員全体に及びます。
- 技術解説の記事が公開されており、NVD の参照にも挙がっています。

## CVSS

| 評価元 | 種別 | 版 | スコア | ベクター |
|---|---|---|---|---|
| VulnCheck | 主（Primary） | v3.1 | 8.2（HIGH） | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N |
| VulnCheck | 副（Secondary） | v4.0 | 8.8（HIGH） | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:N |

認証は不要ですが、スコアが 9 未満のため、本サイトでは high としています。

## 影響範囲

- Attendo 管理者用 Android アプリの 3.0.13 以前を使う事業者と、その従業員が対象です。
- NVD の登録には製品名として「Munshi」が付いていますが、説明文の対象は Attendo の管理者用アプリです。両者の関係は未確認です。
- 認証情報がすでに第三者に取り出されているか、ブローカーへの不正な接続があったかは未確認です。

## 修正

修正版の有無と版番号は、今回の確認では特定できていません（未確認）。Google Play のアプリ配布ページと、ベンダーの案内を確認してください。

## 利用者がとれる対策

- アプリを最新版に更新する。ベンダーが認証情報の変更や仕組みの見直しを案内していないかを確認する。
- 事業者は、ブローカーの認証情報の再発行と、トピックごとのアクセス制御の見直しをベンダーに求める。
- 従業員の個人情報の漏えいの可能性を前提に、ベンダーへ事実関係（影響を受けた期間と範囲）の説明を求める。
- 端末や社内のネットワークで、不審な MQTT 接続（TCP 1883）がないかを確認する。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD の状態 | Deferred |
| CVSS | v3.1 8.2（HIGH）、v4.0 8.8（HIGH）。いずれも VulnCheck |
| EPSS | 未算定（FIRST、2026-11-03 時点） |
| KEV | 掲載なし（CISA のカタログを確認） |
| 出典 | NVD、VulnCheck の勧告、FIRST、CISA |

## 未確認の点

- 実際の攻撃での悪用の有無（KEV 掲載なし、EPSS は未算定）。
- 修正版の有無と版番号、認証情報が再発行されたかどうか。
- 流出した可能性のあるデータの範囲と件数。
- NVD の製品名「Munshi」と Attendo の関係。
- 回避策が有効に働くかどうか（上記は一般的な緩和策で、製品側の検証は未確認）。
- NVD による独自の分析（Deferred のため）。


## 出典
- [NVD CVE-2026-119736](https://nvd.nist.gov/vuln/detail/CVE-2026-119736) — NIST NVD
- [VulnCheck Advisory: Attendo Admin Android hard-coded MQTT broker credentials](https://www.vulncheck.com/advisories/attendo-admin-android-hard-coded-mqtt-broker-credentials) — VulnCheck
- [Attendo（Google Play）](https://play.google.com/store/apps/details?id=com.petpooja.attendance) — Google Play
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-119736) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/attendo-petpooja-payroll-admin-android-3-0-13-hard-coded-mqtt-credentials-cve-2026-119736