CVE-2026-114353
Beschrijving NL
Verborgen functionaliteit (een niet-gedocumenteerde achterdeur) in de root-bevoorrechte 'assistant'-daemon in de DJI CrystalSky ZS600C-firmwareversies v0.3.9.7 tot en met v0.6.6.9 op Android stelt een fysiek aanwezige aanvaller met USB-toegang in staat om willekeurige besturingssysteemopdrachten als root uit te voeren door de hardgecodeerde magische tekenreeks 'dji26656677' naar de seriële interface van het USB-apparaat (/dev/ttyGS0) te sturen, waarna elke volgende regel wordt doorgegeven aan system().
Origineel (Engels) tonen
Hidden functionality (undocumented backdoor) in the root-privileged 'assistant' daemon in DJI CrystalSky ZS600C firmware v0.3.9.7 through v0.6.6.9 on Android allows a physically-present attacker with USB access to execute arbitrary OS commands as root by sending the hard-coded magic string 'dji26656677' to the USB-gadget serial interface (/dev/ttyGS0), after which each subsequent line is passed to system().