CVE-2026-9656

Nome do Software Vulnerável e Versões Afetadas HubSpot All-In-One Marketing – Forms, Popups, Live Chat plugin for WordPress versões anteriores a 11.3.63

Descrição A exposição de informações sensíveis ocorre por meio do objeto JavaScript window.leadinConfig utilizado na função wp localize script(). Atacantes autenticados com nível de acesso de contribuidor ou superior podem extrair o token de atualização (refresh token) OAuth do HubSpot em texto simples. Este token permite o acesso não autorizado ou a modificação de dados no locatário (tenant) do HubSpot conectado. Embora o token seja criptografado em repouso usando AES-256-CTR (um algoritmo de criptografia simétrica que utiliza um contador para transformar uma cifra de bloco em uma cifra de fluxo), ele é descriptografado no servidor antes de ser passado para o objeto JavaScript, tornando a criptografia ineficaz.

Recomendações Atualize o plugin para uma versão posterior à 11.3.62.