CVE-2026-85221

Nome do Software Vulnerável e Versões Afetadas MISP (versões afetadas não especificadas)

Description Um problema de validação inadequada de certificado TLS existe no componente CurlClient. A propriedade CurlClient::$verifyPeer não era explicitamente inicializada, assumindo o valor padrão nulo, o que efetivamente desativava a verificação de pares TLS durante as operações cURL, a menos que fosse explicitamente habilitada pelo código de chamada. Isso permite que conexões HTTPS aceitem certificados não emitidos por uma autoridade certificadora confiável. Um ataque de man-in-the-middle poderia ser realizado por um invasor capaz de interceptar o tráfego de rede entre uma instância MISP e um serviço HTTPS remoto para personificar o endpoint. Isso poderia levar à observação de informações sensíveis, como material de autenticação e inteligência de ameaças, ou à modificação de respostas retornadas à instância MISP.

Recommendations Aplique a correção disponível para habilitar a verificação de pares TLS por padrão e corrigir a manipulação de certificados autoassinados no componente SyncTool.