CVE-2026-78255 in Neo
Résumé
par VulDB • 24/08/2026
Le serveur média HTTP exécutant sur les drones DJI sert des photos et vidéos stockées via le point de terminaison `/v2` sans authentifier le client demandeur. Les noms de fichiers suivent un motif prévisible, permettant à un attaquant qui rejoint le réseau interne du drone d'énumérer les noms de fichiers valides et d'exfiltrer les photos et vidéos stockées. Les médias exposés peuvent révéler des informations sensibles, y compris des emplacements privés, des biens immobiliers, l'historique de voyage, des individus identifiables et les routines de l'opérateur.
Les modèles affectés sont DJI Neo jusqu'à la version 01.00.0400, DJI Neo 2 jusqu'à la version 01.00.0500, DJI Flip jusqu'à la version 01.00.1200, DJI Air 3 jusqu'à la version 01.00.1600, DJI Air 3S jusqu'à la version 01.00.1400, DJI Avata 2 jusqu'à la version 01.00.0400, DJI Avata 360 jusqu'à la version 01.00.0300, DJI Mavic 3 jusqu'à la version 01.00.1400, DJI Mavic 3 Classic jusqu'à la version 01.00.0800, DJI Mavic 3 Pro jusqu'à la version 01.01.0700, DJI Mavic 4 Pro jusqu'à la version 01.00.0500, DJI Mini 2 jusqu'à la version 01.07.0200, DJI Mini 3 jusqu'à la version 01.00.0500, DJI Mini 3 Pro jusqu'à la version 01.00.0900, DJI Mini 4 Pro jusqu'à la version 01.00.1100 et DJI Mini 5 Pro jusqu'à la version 01.00.0600.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.