CVE-2026-32713
Publiée le 2026-03-16 · Dernière modification le 2026-06-17
Les drones utilisant des versions du pilote automatique PX4 antérieures à la 1.17.0-rc2 sont sensibles à une erreur de logique dans la validation des sessions MAVLink FTP. Un attaquant non authentifié disposant d'un accès réseau adjacent peut envoyer des requêtes malformées pour contourner les vérifications de session et placer le sous-système FTP dans un état incohérent, ce qui pourrait entraîner un déni de service. Aucune interaction de l'utilisateur n'est requise pour exploiter cette faille, bien que l'attaquant doive se trouver sur le même réseau local que le drone.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
PX4 autopilot is a flight control solution for drones. Prior to 1.17.0-rc2, A logic error in the PX4 Autopilot MAVLink FTP session validation uses incorrect boolean logic (&& instead of ||), allowing BurstReadFile and WriteFile operations to proceed with invalid sessions or closed file descriptors. This enables an unauthenticated attacker to put the FTP subsystem into an inconsistent state, trigger operations on invalid file descriptors, and bypass session isolation checks. This vulnerability is fixed in 1.17.0-rc2.