CVE-2026-114355
Beschrijving NL
In de firmwareversies v0.3.9.7 tot en met v0.6.6.9 van de DJI CrystalSky ZS600C op Android kan een lokaal proces zonder rootrechten willekeurige commando's uitvoeren door een speciaal geconstrueerde regel naar het Android-logboek (logcat) te schrijven. De helper leest deze regel en geeft deze door aan een shell-evaluatie.
Origineel (Engels) tonen
OS command injection in the root-privileged 'hardware_monitor' helper in DJI CrystalSky ZS600C firmware v0.3.9.7 through v0.6.6.9 on Android allows a local unprivileged process to execute arbitrary commands as root by writing a crafted line to the Android log (logcat), which the helper reads and passes to a shell eval.