CVE-2026-78255 in Neo
الملخص
بحسب VulDB • 24/08/2026
يُقدّم خادم الوسائط المتعددة HTTP الذي يعمل على طائرات DJI صورًا وفيديوهات مخزنة عبر نقطة النهاية `/v2` دون مصادقة العميل المُطلِب. تتبع أسماء الملفات نمطاً قابلاً للتوقع، مما يتيح لمهاجم ينضم إلى الشبكة الداخلية للطائرة استعراض أسماء الملفات الصالحة وسرقة البيانات (exfiltrate) للصور والفيديوهات المخزنة. قد تكشف الوسائط المكشوفة عن معلومات حساسة، بما في ذلك المواقع الخاصة والممتلكات وتاريخ السفر والأفراد القابلين للتحديد وروتينات المشغّل.
النماذج المتأثرة هي: DJI Neo حتى الإصدار 01.00.0400، وDJI Neo 2 حتى الإصدار 01.00.0500، وDJI Flip حتى الإصدار 01.00.1200، وDJI Air 3 حتى الإصدار 01.00.1600، وDJI Air 3S حتى الإصدار 01.00.1400، وDJI Avata 2 حتى الإصدار 01.00.0400، وDJI Avata 360 حتى الإصدار 01.00.0300، وDJI Mavic 3 حتى الإصدار 01.00.1400، وDJI Mavic 3 Classic حتى الإصدار 01.00.0800، وDJI Mavic 3 Pro حتى الإصدار 01.01.0700، وDJI Mavic 4 Pro حتى الإصدار 01.00.0500، وDJI Mini 2 حتى الإصدار 01.07.0200، وDJI Mini 3 حتى الإصدار 01.00.0500، وDJI Mini 3 Pro حتى الإصدار 01.00.0900، وDJI Mini 4 Pro حتى الإصدار 01.00.1100، وDJI Mini 5 Pro حتى الإصدار 01.00.0600.
If you want to get best quality of vulnerability data, you may have to visit VulDB.