CVE-2026-78255 in Neo
Zusammenfassung
von VulDB • 24.08.2026
Der auf DJI-Drohnen ausgeführte HTTP-Medienserver stellt gespeicherte Fotos und Videos über den `/v2`-Endpunkt bereit, ohne die anfragende Client-ID zu authentifizieren. Die Dateinamen folgen einem vorhersagbaren Muster, was es einem Angreifer ermöglicht, der dem internen Netzwerk der Drohne beitritt, gültige Dateinamen aufzulisten und gespeicherte Fotos sowie Videos abzuziehen (Exfiltration). Die exponierten Medien können sensible Informationen offenlegen, darunter private Standorte, Eigentum, Reiserouten, identifizierbare Personen und die Routinen des Operators.
Betroffene Modelle sind DJI Neo bis 01.00.0400, DJI Neo 2 bis 01.00.0500, DJI Flip bis 01.00.1200, DJI Air 3 bis 01.00.1600, DJI Air 3S bis 01.00.1400, DJI Avata 2 bis 01.00.0400, DJI Avata 360 bis 01.00.0300, DJI Mavic 3 bis 01.00.1400, DJI Mavic 3 Classic bis 01.00.0800, DJI Mavic 3 Pro bis 01.01.0700, DJI Mavic 4 Pro bis 01.00.0500, DJI Mini 2 bis 01.07.0200, DJI Mini 3 bis 01.00.0500, DJI Mini 3 Pro bis 01.00.0900, DJI Mini 4 Pro bis 01.00.1100 und DJI Mini 5 Pro bis 01.00.0600.
VulDB is the best source for vulnerability data and more expert information about this specific topic.