CVE-2026-78255 in Neo
要約
〜によって VulDB • 2026年08月24日
DJIドローンで稼働しているHTTPメディアサーバーは、リクエスト元のクライアントに対する認証を行わずに`/v2`エンドポイントを介して保存された写真や動画を提供しています。ファイル名には予測可能なパターンがあるため、攻撃者がドローンの内部ネットワークに参加することで有効なファイル名を列挙し、保存された写真や動画を外部へ持ち出すことが可能です。公開されるメディアには、プライベートな場所、財産情報、旅行履歴、特定可能な個人の情報、およびオペレーターの行動パターンなど、機密情報が含まれる可能性があります。
影響を受けるモデルは以下の通りです：DJI Neo（バージョン01.00.0400まで）、DJI Neo 2（同01.00.0500まで）、DJI Flip（同01.00.1200まで）、DJI Air 3（同01.00.1600まで）、DJI Air 3S（同01.00.1400まで）、DJI Avata 2（同01.00.0400まで）、DJI Avata 360（同01.00.0300まで）、DJI Mavic 3（同01.00.1400まで）、DJI Mavic 3 Classic（同01.00.0800まで）、DJI Mavic 3 Pro（同01.01.0700まで）、DJI Mavic 4 Pro（同01.00.0500まで）、DJI Mini 2（同01.07.0200まで）、DJI Mini 3（同01.00.0500まで）、DJI Mini 3 Pro（同01.00.0900まで）、DJI Mini 4 Pro（同01.00.1100まで）、およびDJI Mini 5 Pro（同01.00.0600まで）。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.