CVE-2026-78251

DJI dronları, etkilenen modeller arasında paylaşılan sabit kodlanmış kimlik bilgileri kullanan bir FTP servisi içermektedir ve kimliği doğrulanmış kullanıcıların **/blackbox/upgrade/** dizininde dosya boyutu, dosya sayısı veya tüketilen toplam depolama alanı üzerinde herhangi bir sınır olmaksızın dosya yüklemesine ve bu dizindeki mevcut dosyaların üzerine yazmasına izin vermektedir. Drone'un dahili ağına veya USB RNDIS arayüzüne erişimi olan bir saldırgan, mevcut depolama alanını tüketerek hava aracının uçuş kayıtlarını, günlüklerini ve telemetri verilerini yazmasını engelleyebilir ve potansiyel olarak sonraki aygıt yazılımı güncellemelerini durdurabilir. Yüklenen dosyalar yeniden başlatma ve fabrika ayarlarına sıfırlama işlemlerinden sonra da kalıcı olur. Etkilenen modeller; 01.00.0400 sürümüne kadar DJI Neo, 01.00.0500 sürümüne kadar DJI Neo 2, 01.00.1200 sürümüne kadar DJI Flip, 01.00.1600 sürümüne kadar DJI Air 3, 01.00.1400 sürümüne kadar DJI Air 3S, 01.00.0400 sürümüne kadar DJI Avata 2, 01.00.0300 sürümüne kadar DJI Avata 360, 01.00.1400 sürümüne kadar DJI Mavic 3, 01.00.0800 sürümüne kadar DJI Mavic 3 Classic, 01.01.0700 sürümüne kadar DJI Mavic 3 Pro, 01.00.0500 sürümüne kadar DJI Mavic 4 Pro, 01.07.0200 sürümüne kadar DJI Mini 2, 01.00.0500 sürümüne kadar DJI Mini 3, 01.00.0900 sürümüne kadar DJI Mini 3 Pro, 01.00.1100 sürümüne kadar DJI Mini 4 Pro ve 01.00.0600 sürümüne kadar DJI Mini 5 Pro'dur. Giderme işlemi, üreticiden gelecek bir aygıt yazılımı güncellemesi gerektirmektedir.