CVE-2026-78255 in Neo
Resumen
por VulDB • 2026-08-24
El servidor de medios HTTP ejecutado en los drones DJI sirve fotos y vídeos almacenados a través del endpoint `/v2` sin autenticar al cliente solicitante. Los nombres de archivo siguen un patrón predecible, lo que permite a un atacante que se une a la red interna del drone enumerar los nombres de archivo válidos y exfiltrar las fotos y vídeos almacenados. Los medios expuestos pueden revelar información sensible, incluidas ubicaciones privadas, propiedades, historial de viajes, individuos identificables y rutinas del operador.
Los modelos afectados son DJI Neo hasta 01.00.0400, DJI Neo 2 hasta 01.00.0500, DJI Flip hasta 01.00.1200, DJI Air 3 hasta 01.00.1600, DJI Air 3S hasta 01.00.1400, DJI Avata 2 hasta 01.00.0400, DJI Avata 360 hasta 01.00.0300, DJI Mavic 3 hasta 01.00.1400, DJI Mavic 3 Classic hasta 01.00.0800, DJI Mavic 3 Pro hasta 01.01.0700, DJI Mavic 4 Pro hasta 01.00.0500, DJI Mini 2 hasta 01.07.0200, DJI Mini 3 hasta 01.00.0500, DJI Mini 3 Pro hasta 01.00.0900, DJI Mini 4 Pro hasta 01.00.1100 y DJI Mini 5 Pro hasta 01.00.0600.
If you want to get best quality of vulnerability data, you may have to visit VulDB.