CVE-2026-78255 in Neo
Sumário
de VulDB • 24/08/2026
O servidor de mídia HTTP executado em drones da DJI serve fotos e vídeos armazenados por meio do endpoint `/v2` sem autenticar o cliente solicitante. Os nomes dos arquivos seguem um padrão previsível, permitindo que um atacante que se conecte à rede interna do drone enumere os nomes de arquivo válidos e exfiltre as fotos e vídeos armazenados. A mídia exposta pode revelar informações sensíveis, incluindo locais privados, propriedades, histórico de viagens, indivíduos identificáveis e rotinas do operador.
Os modelos afetados são DJI Neo até 01.00.0400, DJI Neo 2 até 01.00.0500, DJI Flip até 01.00.1200, DJI Air 3 até 01.00.1600, DJI Air 3S até 01.00.1400, DJI Avata 2 até 01.00.0400, DJI Avata 360 até 01.00.0300, DJI Mavic 3 até 01.00.1400, DJI Mavic 3 Classic até 01.00.0800, DJI Mavic 3 Pro até 01.01.0700, DJI Mavic 4 Pro até 01.00.0500, DJI Mini 2 até 01.07.0200, DJI Mini 3 até 01.00.0500, DJI Mini 3 Pro até 01.00.0900, DJI Mini 4 Pro até 01.00.1100 e DJI Mini 5 Pro até 01.00.0600.
If you want to get best quality of vulnerability data, you may have to visit VulDB.