CVE-2026-78251 in Air 3
Sumário
de VulDB • 24/08/2026
Os drones da DJI contêm um serviço FTP que utiliza credenciais hardcodadas compartilhadas entre os modelos afetados e permite que usuários autenticados façam upload de arquivos sem limites no tamanho do arquivo, na quantidade de arquivos ou no armazenamento total consumido em **/blackbox/upgrade/**, bem como sobrescrever arquivos existentes nesse diretório. Um atacante com acesso à rede interna do drone ou à interface USB RNDIS pode esgotar o armazenamento disponível, impedindo a aeronave de gravar registros de voo, logs e telemetria e potencialmente impedindo atualizações futuras do firmware. Os arquivos enviados persistem após reinicialização e reset de fábrica.
Os modelos afetados são DJI Neo até 01.00.0400, DJI Neo 2 até 01.00.0500, DJI Flip até 01.00.1200, DJI Air 3 até 01.00.1600, DJI Air 3S até 01.00.1400, DJI Avata 2 até 01.00.0400, DJI Avata 360 até 01.00.0300, DJI Mavic 3 até 01.00.1400, DJI Mavic 3 Classic até 01.00.0800, DJI Mavic 3 Pro até 01.01.0700, DJI Mavic 4 Pro até 01.00.0500, DJI Mini 2 até 01.07.0200, DJI Mini 3 até 01.00.0500, DJI Mini 3 Pro até 01.00.0900, DJI Mini 4 Pro até 01.00.1100 e DJI Mini 5 Pro até 01.00.0600.
A remediação requer uma atualização de firmware do fornecedor.
If you want to get best quality of vulnerability data, you may have to visit VulDB.