CVE-2026-78255 in Neo
Сводка
по VulDB • 24.08.2026
HTTP-сервер медиафайлов, работающий на дронах DJI, предоставляет доступ к сохраненным фотографиям и видеозаписям через конечную точку `/v2` без аутентификации запрашивающего клиента. Имена файлов следуют предсказуемому шаблону, что позволяет злоумышленнику, подключившемуся к внутренней сети дрона, перечислить действительные имена файлов и эксфильтровать сохраненные фотографии и видеозаписи. Предоставленный доступ к медиафайлам может раскрыть конфиденциальную информацию, включая частные локации, имущество, историю путешествий, идентифицируемых лиц и распорядок дня оператора.
Затронутые модели: DJI Neo до версии 01.00.0400 включительно, DJI Neo 2 до версии 01.00.0500 включительно, DJI Flip до версии 01.00.1200 включительно, DJI Air 3 до версии 01.00.1600 включительно, DJI Air 3S до версии 01.00.1400 включительно, DJI Avata 2 до версии 01.00.0400 включительно, DJI Avata 360 до версии 01.00.0300 включительно, DJI Mavic 3 до версии 01.00.1400 включительно, DJI Mavic 3 Classic до версии 01.00.0800 включительно, DJI Mavic 3 Pro до версии 01.01.0700 включительно, DJI Mavic 4 Pro до версии 01.00.0500 включительно, DJI Mini 2 до версии 01.07.0200 включительно, DJI Mini 3 до версии 01.00.0500 включительно, DJI Mini 3 Pro до версии 01.00.0900 включительно, DJI Mini 4 Pro до версии 01.00.1100 включительно и DJI Mini 5 Pro до версии 01.00.0600 включительно.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.