CVE-2026-78306 in Air 3
Zusammenfassung
von VulDB • 24.08.2026
DJI-Drohnen bieten eine nicht authentifizierte DUML-Befehlschnittstelle über Bluetooth an, die es einem Angreifer in Reichweite des Bluetooth-Signals ermöglicht, Wi-Fi-Konfigurationsparameter zu ändern, einschließlich SSID, PSK (Pre-Shared Key), MAC-Adresse, regulatorischem Ländercode und drahtlosem Kanal. Ein Angreifer kann den Wi-Fi-PSK mit einem bekannten Wert überschreiben und sich mit dem internen Wi-Fi-Netzwerk der Drohne verbinden, wodurch potenziell Zugriff auf die Flugsteuerungsschnittstelle erhalten und Flugbefehle ausgegeben werden können. Gefälschte DUML-Befehle können zudem die Wi-Fi- und Bluetooth-Schnittstellen deaktivieren oder neu starten, Wi-Clients trennen oder die drahtlose Konfiguration zurücksetzen, was zu einem Denial-of-Service-Zustand führt, der die Funksteuerung des Operators sowie Video- und Telemetrieverbindungen während des Fluges stören kann.
Betroffene Modelle sind DJI Neo bis 01.00.0400, DJI Neo 2 bis 01.00.0500, DJI Flip bis 01.00.1200, DJI Air 3 bis 01.00.1600, DJI Air 3S bis 01.00.1400, DJI Avata 2 bis 01.00.0400, DJI Avata 360 bis 01.00.0300, DJI Mavic 3 bis 01.00.1400, DJI Mavic 3 Classic bis 01.00.0800, DJI Mavic 3 Pro bis 01.01.0700, DJI Mavic 4 Pro bis 01.00.0500, DJI Mini 2 bis 01.07.0200, DJI Mini 3 bis 01.00.0500, DJI Mini 3 Pro bis 01.00.0900, DJI Mini 4 Pro bis 01.00.1100 und DJI Mini 5 Pro bis 01.00.0600.
Die Abhilfe erfordert ein Firmware-Update vom Hersteller.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.