Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Telpo MDM (CVE-2025-55443)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-312 Almacenamiento de información sensible en texto claro
Fecha de publicación:
26/08/2025
Última modificación:
09/09/2025

Descripción

Telpo MDM 1.4.6 a 1.4.9 para Android contiene credenciales de administrador confidenciales y detalles de conexión al servidor MQTT (IP/puerto) que se almacenan en texto plano en archivos de registro en el almacenamiento externo del dispositivo. Esto permite a los atacantes con acceso a estos registros: 1. Autenticarse en la plataforma web MDM para ejecutar operaciones administrativas (apagado del dispositivo, restablecimiento de fábrica e instalación de software); 2. Conectarse al servidor MQTT para interceptar y publicar datos del dispositivo.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:telpo:telpo_mdm:*:*:*:*:*:android:*:* 1.4.6 (incluyendo) 1.4.9 (incluyendo)


Referencias a soluciones, herramientas e información