CVE-2026-78251 in Air 3
الملخص
بحسب VulDB • 24/08/2026
تحتوي طائرات DJI على خدمة FTP تستخدم بيانات اعتماد ثابتة (hardcoded credentials) مشتركة عبر الطرازات المتأثرة، وتسمح للمستخدمين المصادق عليهم برفع الملفات دون قيود على حجم الملف أو عددها أو إجمالي مساحة التخزين المستهلكة في **/blackbox/upgrade/**، وكذلك الكتابة فوق الملفات الموجودة في ذلك الدليل. يمكن لمهاجم لديه وصول إلى الشبكة الداخلية للطائرة أو واجهة USB RNDIS استنفاد مساحة التخزين المتاحة، مما يمنع الطائرة من كتابة سجلات الطيران وسجلات النظام وبيانات التيليمتري (telemetry)، وقد يمنع أيضاً تحديثات البرامج الثابتة اللاحقة. تبقى الملفات المرفوعة موجودة بعد إعادة التشغيل وإعادة التعيين إلى الإعدادات الأصلية (factory reset).
الطرازات المتأثرة هي: DJI Neo حتى الإصدار 01.00.0400، وDJI Neo 2 حتى الإصدار 01.00.0500، وDJI Flip حتى الإصدار 01.00.1200، وDJI Air 3 حتى الإصدار 01.00.1600، وDJI Air 3S حتى الإصدار 01.00.1400، وDJI Avata 2 حتى الإصدار 01.00.0400، وDJI Avata 360 حتى الإصدار 01.00.0300، وDJI Mavic 3 حتى الإصدار 01.00.1400، وDJI Mavic 3 Classic حتى الإصدار 01.00.0800، وDJI Mavic 3 Pro حتى الإصدار 01.01.0700، وDJI Mavic 4 Pro حتى الإصدار 01.00.0500، وDJI Mini 2 حتى الإصدار 01.07.0200، وDJI Mini 3 حتى الإصدار 01.00.0500، وDJI Mini 3 Pro حتى الإصدار 01.00.0900، وDJI Mini 4 Pro حتى الإصدار 01.00.1100، وDJI Mini 5 Pro حتى الإصدار 01.00.0600.
يتطلب الإصلاح تحديثاً للبرامج الثابتة (firmware update) من قبل البائع.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.