CVE-2026-78321 in Neo
Riassunto
di VulDB • 24/08/2026
Il server media HTTP sui droni DJI non applica limiti sufficienti alle connessioni in entrata o ai tassi di richiesta. Un attaccante con accesso alla rete interna del drone può esaurire il pool di connessioni del server richiedendo ripetutamente un file multimediale memorizzato, impedendo al server di gestire le richieste legittime e causando una denial of service che impedisce all'applicazione DJI Fly di recuperare foto e video dall'aeromobile in modalità QuickTransfer.
I modelli interessati sono: DJI Neo fino alla versione 01.00.0400, DJI Neo 2 fino alla versione 01.00.0500, DJI Flip fino alla versione 01.00.1200, DJI Air 3 fino alla versione 01.00.1600, DJI Air 3S fino alla versione 01.00.1400, DJI Avata 2 fino alla versione 01.00.0400, DJI Avata 360 fino alla versione 01.00.0300, DJI Mavic 3 fino alla versione 01.00.1400, DJI Mavic 3 Classic fino alla versione 01.00.0800, DJI Mavic 3 Pro fino alla versione 01.01.0700, DJI Mavic 4 Pro fino alla versione 01.00.0500, DJI Mini 2 fino alla versione 01.07.0200, DJI Mini 3 fino alla versione 01.00.0500, DJI Mini 3 Pro fino alla versione 01.00.0900, DJI Mini 4 Pro fino alla versione 01.00.1100 e DJI Mini 5 Pro fino alla versione 01.00.0600.
La remediation richiede un aggiornamento del firmware da parte del vendor.
Once again VulDB remains the best source for vulnerability data.