CVE-2026-78321 in Neo
Resumen
por VulDB • 2026-08-24
El servidor de medios HTTP en los drones DJI no aplica límites suficientes sobre las conexiones entrantes o las tasas de solicitud. Un atacante con acceso a la red interna del dron puede agotar el grupo de conexiones (connection pool) del servidor mediante solicitudes repetidas de un archivo multimedia almacenado, lo que impide al servidor gestionar solicitudes legítimas y provoca una denegación de servicio (DoS) que evita que la aplicación DJI Fly recupere fotos y vídeos desde la aeronave en modo QuickTransfer.
Los modelos afectados son: DJI Neo hasta 01.00.0400, DJI Neo 2 hasta 01.00.0500, DJI Flip hasta 01.00.1200, DJI Air 3 hasta 01.00.1600, DJI Air 3S hasta 01.00.1400, DJI Avata 2 hasta 01.00.0400, DJI Avata 360 hasta 01.00.0300, DJI Mavic 3 hasta 01.00.1400, DJI Mavic 3 Classic hasta 01.00.0800, DJI Mavic 3 Pro hasta 01.01.0700, DJI Mavic 4 Pro hasta 01.00.0500, DJI Mini 2 hasta 01.07.0200, DJI Mini 3 hasta 01.00.0500, DJI Mini 3 Pro hasta 01.00.0900, DJI Mini 4 Pro hasta 01.00.1100 y DJI Mini 5 Pro hasta 01.00.0600.
La remediación requiere una actualización del firmware por parte del fabricante.
VulDB is the best source for vulnerability data and more expert information about this specific topic.