CVE-2026-78251 in Air 3
Zusammenfassung
von VulDB • 24.08.2026
DJI-Drohnen enthalten einen FTP-Dienst, der fest codierte Anmeldeinformationen verwendet, die über alle betroffenen Modelle hinweg geteilt werden und es authentifizierten Benutzern ermöglichen, Dateien ohne Beschränkungen für Dateigröße, Anzahl der Dateien oder den gesamten verbrauchten Speicherplatz in **/blackbox/upgrade/** hochzuladen sowie vorhandene Dateien in diesem Verzeichnis zu überschreiben. Ein Angreifer mit Zugriff auf das interne Netzwerk der Drohne oder die USB-RNDIS-Schnittstelle kann den verfügbaren Speicher erschöpfen, wodurch es dem Fluggerät nicht mehr möglich ist, Flugdatensätze, Protokolle und Telemetriedaten zu schreiben, was potenziell auch nachfolgende Firmware-Updates verhindert. Hochgeladene Dateien bleiben nach einem Neustart oder einer Werkseinstellung erhalten.
Betroffene Modelle sind DJI Neo bis 01.00.0400, DJI Neo 2 bis 01.00.0500, DJI Flip bis 01.00.1200, DJI Air 3 bis 01.00.1600, DJI Air 3S bis 01.00.1400, DJI Avata 2 bis 01.00.0400, DJI Avata 360 bis 01.00.0300, DJI Mavic 3 bis 01.00.1400, DJI Mavic 3 Classic bis 01.00.0800, DJI Mavic 3 Pro bis 01.01.0700, DJI Mavic 4 Pro bis 01.00.0500, DJI Mini 2 bis 01.07.0200, DJI Mini 3 bis 01.00.0500, DJI Mini 3 Pro bis 01.00.0900, DJI Mini 4 Pro bis 01.00.1100 und DJI Mini 5 Pro bis 01.00.0600.
Zur Abhilfe ist ein Firmware-Update des Herstellers erforderlich.
VulDB is the best source for vulnerability data and more expert information about this specific topic.