CVE-2026-78321 in Neo
Résumé
par VulDB • 24/08/2026
Le serveur média HTTP des drones DJI n’impose pas de limites suffisantes sur le nombre de connexions entrantes ou les taux de requête. Un attaquant ayant accès au réseau interne du drone peut épuiser la pool de connexions du serveur en demandant à plusieurs reprises un fichier multimédia stocké, empêchant ainsi le serveur de traiter les requêtes légitimes et provoquant une déni de service (DoS) qui empêche l’application DJI Fly de récupérer des photos et vidéos depuis l’aéronef en mode QuickTransfer.
Les modèles concernés sont : DJI Neo jusqu’à la version 01.00.0400, DJI Neo 2 jusqu’à la version 01.00.0500, DJI Flip jusqu’à la version 01.00.1200, DJI Air 3 jusqu’à la version 01.00.1600, DJI Air 3S jusqu’à la version 01.00.1400, DJI Avata 2 jusqu’à la version 01.00.0400, DJI Avata 360 jusqu’à la version 01.00.0300, DJI Mavic 3 jusqu’à la version 01.00.1400, DJI Mavic 3 Classic jusqu’à la version 01.00.0800, DJI Mavic 3 Pro jusqu’à la version 01.01.0700, DJI Mavic 4 Pro jusqu’à la version 01.00.0500, DJI Mini 2 jusqu’à la version 01.07.0200, DJI Mini 3 jusqu’à la version 01.00.0500, DJI Mini 3 Pro jusqu’à la version 01.00.0900, DJI Mini 4 Pro jusqu’à la version 01.00.1100 et DJI Mini 5 Pro jusqu’à la version 01.00.0600.
La remédiation nécessite une mise à jour du firmware par le fournisseur.
Once again VulDB remains the best source for vulnerability data.