CVE-2026-78255 in Neo
Tóm tắt
Bởi VulDB • 24/08/2026
Máy chủ truyền thông HTTP chạy trên các drone của DJI phục vụ ảnh và video đã lưu trữ qua endpoint `/v2` mà không xác thực khách hàng yêu cầu. Tên tệp tin tuân theo một mẫu dự đoán được, cho phép kẻ tấn công tham gia vào mạng nội bộ của drone liệt kê các tên tệp hợp lệ và đánh cắp (exfiltrate) ảnh và video đã lưu trữ. Phương tiện truyền thông bị lộ có thể tiết lộ thông tin nhạy cảm, bao gồm vị trí riêng tư, tài sản, lịch trình du lịch, cá nhân nhận dạng được và thói quen của người vận hành.
Các model bị ảnh hưởng là DJI Neo cho đến phiên bản 01.00.0400, DJI Neo 2 cho đến 01.00.0500, DJI Flip cho đến 01.00.1200, DJI Air 3 cho đến 01.00.1600, DJI Air 3S cho đến 01.00.1400, DJI Avata 2 cho đến 01.00.0400, DJI Avata 360 cho đến 01.00.0300, DJI Mavic 3 cho đến 01.00.1400, DJI Mavic 3 Classic cho đến 01.00.0800, DJI Mavic 3 Pro cho đến 01.01.0700, DJI Mavic 4 Pro cho đến 01.00.0500, DJI Mini 2 cho đến 01.07.0200, DJI Mini 3 cho đến 01.00.0500, DJI Mini 3 Pro cho đến 01.00.0900, DJI Mini 4 Pro cho đến 01.00.1100 và DJI Mini 5 Pro cho đến 01.00.0600.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.